CVE Vulnerability Catalog

OwnTone Server versions 28.4 through 29.0 contain a race condition vulnerability in the DAAP login handler that allows unauthenticated attackers to crash the server by exploiting unsynchronized access to the global DAAP session list. Attackers can flood the DAAP /login endpoint with concurrent requests to trigger a remote denial of service condition without requiring authentication.

facil.io prior to commit 5128747363055201d3ecf0e29bf0a961703c9fa0 has an infinite loop vulnerability in `fio_json_parse` when encountering a nested JSON value starting with 'i' or 'I'. The process spins in user space and pegs one CPU core at ~100% instead of returning a parse error. Because `iodine` vendors the same parser code, it is also affected.

MinIO to system przechowywania obiektów o wysokiej wydajności. W wersjach od RELEASE.2023-05-18T00-05-36Z do RELEASE.2026-04-11T03-20-12Z występuje podatność na obejście uwierzytelniania w kodzie `STREAMING-UNSIGNED-PAYLOAD-TRAILER`, która pozwala każdemu użytkownikowi znającemu ważny klucz dostępu na zapis dowolnych obiektów do dowolnego koszyka bez znajomości klucza tajnego.

MinIO to system przechowywania obiektów o wysokiej wydajności. W wersjach od RELEASE.2023-05-18T00-05-36Z do RELEASE.2026-04-11T03-20-12Z występuje podatność na obejście uwierzytelniania w obsłudze automatycznego wyodrębniania Snowball (`PutObjectExtractHandler`), która pozwala każdemu użytkownikowi znającemu ważny klucz dostępu na zapis dowolnych obiektów do dowolnego koszyka bez znajomości klucza tajnego lub dostarczenia ważnego podpisu kryptograficznego.

Wersje free5GC przed 1.4.3 zawierają podatność na wyciek pamięci w interfejsie PCF SBI, która pozwala nieautoryzowanym atakującym z dostępem do sieci na powodowanie niekontrolowanego wzrostu pamięci poprzez wysyłanie powtarzających się żądań HTTP do punktu końcowego OAM. Problem wynika z nieprawidłowego zarządzania middleware CORS w obsłudze HTTP.

pyLoad to darmowy menedżer pobierania napisany w Pythonie. Wersje do 0.5.0b3.dev97 przechowują `role` i `permission` w sesji podczas logowania, co pozwala na autoryzację żądań przy użyciu tych wartości, nawet po zmianie ról/uprawnień użytkownika przez administratora w bazie danych.

OAuth2 Proxy to reverse proxy, który zapewnia uwierzytelnianie za pomocą dostawców OAuth2. Wersje od 7.5.0 do 7.15.1 mają lukę w uwierzytelnianiu, która zależy od konfiguracji, co może prowadzić do ominięcia uwierzytelnienia w określonych warunkach.

Zidentyfikowano podatność typu server-side request forgery (SSRF) w GitHub Enterprise Server, która umożliwiała atakującemu wydobycie wrażliwych zmiennych środowiskowych z instancji poprzez atak czasowy na usługę renderowania notatników. Gdy tryb prywatny był wyłączony, przeglądarka notatników podążała za przekierowaniami HTTP bez ponownej walidacji docelowego hosta, co umożliwiało nieautoryzowany SSRF do usług wewnętrznych.

W GitHub Enterprise Server zidentyfikowano podatność na niepoprawny wyrażenie regularne, która umożliwiała atakującemu ominięcie walidacji URI przekierowania OAuth. Atakujący mógł stworzyć złośliwy link autoryzacyjny, który po kliknięciu przez ofiarę przekierowywałby kod autoryzacji OAuth na kontrolowaną przez atakującego domenę.

AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i poniżej funkcja `isSSRFSafeURL()` w pliku `objects/functions.php` zawiera lukę, która pozwala na ominięcie zabezpieczeń SSRF dla dowolnego URL, którego nazwa hosta odpowiada `webSiteRootURL`.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i poniżej, niekompletna poprawka dla parametru `deleteDump` w CloneSite nie stosuje filtracji przejścia ścieżek, co pozwala na usunięcie dowolnych plików za pomocą sekwencji `../../` w parametrze GET.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i poniżej poprawka walidacji pochodzenia CORS w commicie `986e64aad` jest niekompletna, co pozwala na odzwierciedlenie dowolnych nagłówków `Origin` z uprawnieniami dla wszystkich punktów końcowych `/api/*`.

WWBN AVideo to otwarta platforma wideo. W wersjach 29.0 i poniżej funkcja `allowOrigin($allowAll=true)` w pliku `objects/functions.php` odzwierciedla dowolny nagłówek `Origin` w `Access-Control-Allow-Origin`, co pozwala na nieautoryzowane żądania międzydomenowe.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i poniżej, niekompletna poprawka SSRF w proxy LiveLinks dodaje walidację `isSSRFSafeURL()`, ale pozostawia podatności DNS TOCTOU, które mogą prowadzić do przekierowania ruchu do wewnętrznych punktów końcowych.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach 29.0 i wcześniejszych, trzy punkty końcowe JSON dostępne tylko dla administratorów nie weryfikują poprawności tokena CSRF, co pozwala atakującemu na manipulację danymi w bazie poprzez oszukanie zalogowanego administratora.

Hermes WebUI zawiera podatność na nieautoryzowane usuwanie plików w punkcie końcowym /api/session/delete, która pozwala uwierzytelnionym atakującym na usunięcie plików poza katalogiem sesji poprzez dostarczenie absolutnej ścieżki lub ładunku do przejścia ścieżki w parametrze session_id. Atakujący mogą wykorzystać niezweryfikowane identyfikatory sesji do skonstruowania ścieżek, które omijają granicę SESSION_DIR i usuwają zapisywalne pliki JSON na systemie gospodarza.

Oxia prior to 0.16.2 logs the full bearer token in plaintext at DEBUG level when OIDC authentication fails. If debug logging is enabled in production, JWT tokens are exposed in application logs and any connected log aggregation system.

Oxia prior to 0.16.2 has a race condition between session heartbeat processing and session closure that can cause the server to panic with send on closed channel. The heartbeat() method uses a blocking channel send while holding a mutex, and under specific timing with concurrent close() calls, this can lead to deadlock or panic.

Podatność w bibliotece Compressing przed wersjami 2.1.1 i 1.10.5 pozwala na obejście zabezpieczeń poprzez wykorzystanie techniki zanieczyszczenia katalogu. Sprawdzenie, które miało weryfikować, czy ścieżka zaczyna się od katalogu docelowego, nie uwzględnia rzeczywistego stanu systemu plików.

HKUDS OpenHarness prior to PR #147 remediation contains an insecure default configuration vulnerability where remote channels inherit allow_from = ["*"] permitting arbitrary remote senders to pass admission checks.