Katalog podatności CVE

W Webkul Bagisto do wersji 2.4.6/2.5.0-beta4 wykryto podatność w funkcji masowej aktualizacji statusu faktur w pliku /admin/sales/invoices/mass-update/state. Manipulacja prowadzi do braku autoryzacji, a atak może być przeprowadzony zdalnie. Exploit jest publiczny, a problem został naprawiony w wersji 2.5.0-beta5.

W DeepSeek deepseek-harness do wersji 0.1.7-rc.2 wykryto podatność w funkcji loadProfile pliku packages/boot/app-boot/src/profile.ts w komponencie Bundle Patch Handler. Manipulacja argumentem dsh.bundle.patch prowadzi do path traversal, a atak można przeprowadzić zdalnie, choć wymaga wysokiej złożoności. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział.

W deepseek-ai deepseek-harness do wersji 0.1.5-rc.3 zidentyfikowano podatność w nieznanej funkcji pliku packages/e2b/e2b/src/index.ts w komponencie dsh. Manipulacja argumentem E2B_API_KEY prowadzi do polegania na niezaufanych danych wejściowych w decyzji bezpieczeństwa, a atak wymaga dostępu lokalnego. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział.

Rozszerzenie Joomla - ordasoft.com - Odzwierciedlony Cross-Site Scripting w Book Library (Free) < 6.4.6 - Publiczny szablon strony szczegółów książki, site/views/view_book/tmpl/default.php, bezpośrednio wypisuje surowy parametr title do atrybutu HTML w cudzysłowie bez żadnej funkcji escapowania (echo $_REQUEST["title"];). Wartość zawierająca podwójny cudzysłów zamyka atrybut wcześniej i pozwala na wstrzyknięcie dowolnego HTML/JavaScript.

Rozszerzenie Joomla - ordasoft.com - Nieuwierzytelnione wstrzyknięcie SQL w Book Library (Free) w wersji < 6.4.6. Funkcja books() w pliku site/booklibrary.php odczytuje parametry field i direction i przekazuje je przez funkcję protectInjectionWithoutQuote(), która tylko blokuje słowo kluczowe select, ale wartość jest konkatenowana bezpośrednio w niecytowanej klauzuli ORDER BY, gdzie cytowanie nie chroni. Osiągnięcie podatnej ścieżki wymaga dwóch warunków: pierwszego żądania do ustawienia domyślnych sortowań w sesji oraz końcowego komentarza (-- xselect), który spełnia sprawdzenie podciągu bez zmiany efektu ładunku.

Rozszerzenie Joomla - ordasoft.com - Odzwierciedlony Cross-Site Scripting w Vehicle Manager (Free) < 6.5.8 - Publiczna strona szczegółów pojazdu (task=view) wypisuje parametr title bezpośrednio do atrybutu HTML w cudzysłowie bez żadnego kodowania wyjścia. Znak podwójnego cudzysłowu w parametrze zamyka atrybut, umożliwiając wstrzyknięcie dowolnego znacznika, w tym tagu <script>, do strony.

Rozszerzenie Joomla - ordasoft.com - Nieuwierzytelnione wstrzyknięcie SQL w Vehicle Manager (Free) w wersji < 6.5.8. Plik site/vehiclemanager.php odczytuje parametry sortowania order_field i order_direction w trzech osobnych punktach wejścia frontendu (lista kategorii, wyszukiwanie i lista wszystkich pojazdów) przez funkcję sanityzującą, która stosuje prawdziwe escapowanie, ale wartość jest umieszczana w niecytowanej klauzuli ORDER BY, gdzie escapowanie nie chroni.

Podatność została wykryta w code-projects Matrimonial System 1.0. Dotkniętym elementem jest funkcja processprofile_form w pliku /create_profile komponentu Profile Creation Endpoint. Manipulacja argumentem fname powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Rozszerzenie Joomla - ordasoft.com - Odzwierciedlony Cross-Site Scripting w Real Estate Manager (Free) < 6.7.9 - Formularz "leave a review" na publicznej stronie szczegółów nieruchomości odtwarza pole title bezpośrednio z żądania bez żadnego escapowania i filtrowania, w przeciwieństwie do sąsiedniego pola komentarza, które przynajmniej częściowo usuwa tagi. Znak " w parametrze title przełamuje atrybut HTML, umożliwiając wykonanie elementu <script> w przeglądarce każdego, kto otworzy spreparowany link.

Rozszerzenie Joomla - ordasoft.com - Nieuwierzytelnione wstrzyknięcie SQL w Real Estate Manager (Free) w wersji < 6.7.9. Plik site/realestatemanager.php buduje klauzulę ORDER BY trzech osobnych zapytań frontendu (przeglądanie kategorii, wyniki wyszukiwania i pełna lista nieruchomości) z kontrolowanego przez żądanie parametru order_field, konkatenowanego bezpośrednio w niecytowanej klauzuli SQL bez listy dozwolonych nazw kolumn i bez rzutowania.

Wada znaleziona w StreamsHub Console dla Apache Kafka. Właściwości klienta Kafka dostarczane przez dzierżawcę z zasobu Console są kopiowane do konfiguracji AdminClient console-api bez filtrowania wrażliwych kluczy bezpieczeństwa, co pozwala autorowi Console CR na ustawienie config.providers i bootstrap.servers w celu eksfiltracji tokena ServiceAccount console-api do kontrolowanego przez atakującego brokera.

FreePBX to open source IP PBX. Przed wersją 17.0.9 uwierzytelnieni użytkownicy, którzy mają dostęp do interfejsu modułu GraphQL api, mogą wykonywać dowolne polecenia powłoki. Wymagany jest uwierzytelniony dostęp do modułu api. Generator dokumentacji modułu PBX API przyjmuje uwierzytelniony parametr host i używa go do budowy polecenia powłoki. Ścieżka kodu weryfikuje wygenerowany token OAuth przed wykonaniem, ale nie weryfikuje ani nie escapuje hosta. Kompromitacja skutkuje uwierzytelnionym wykonaniem dowolnych poleceń powłoki jako użytkownik usługi web/PBX (zazwyczaj asterisk). Problem został naprawiony w wersji 17.0.9.

Stringer to samodzielny, antyspołeczny czytnik RSS. Przed commit 75cb095 istnieje nieograniczona podatność na Server-Side Request Forgery (SSRF), która pozwala każdemu uwierzytelnionemu użytkownikowi zmusić serwer Stringer do wysyłania dowolnych żądań HTTP/HTTPS do sieci wewnętrznych, usług localhost i punktów końcowych metadanych chmury (np. AWS IMDS 169.254.169.254). Gdy włączona jest samodzielna rejestracja (Setting::UserSignup), nawet użytkownik z niskimi uprawnieniami może to wykorzystać do skanowania wewnętrznych usług lub kradzieży poświadczeń IAM w chmurze. Problem został naprawiony w commicie 75cb095.

Token Optimizer MCP mierzy oszczędności tokenów na agenta kodowania AI, optymalizuje kontekst i udostępnia lokalny graf wiedzy w czasie rzeczywistym dla 16 klientów CLI. Przed wersją 5.1.0 token-optimizer-mcp jest podatny na wstrzyknięcie poleceń systemu operacyjnego w narzędziu smart_user. Każdy klient MCP, który może wywołać narzędzie smart_user, może wykonywać dowolne polecenia powłoki przez argument username operacji get-user-info. Polecenia są wykonywane z uprawnieniami użytkownika uruchamiającego serwer token-optimizer-mcp. Problem został naprawiony w wersji 5.1.0.

Token Optimizer MCP mierzy oszczędności tokenów na agenta kodowania AI, optymalizuje kontekst i udostępnia lokalny graf wiedzy w czasie rzeczywistym dla 16 klientów CLI. Przed wersją 5.1.0 serwer HTTP dashboardu w token-optimizer-mcp udostępnia /api/session-summary i /api/session-events bez żadnego uwierzytelniania — każdy klient dostępny w sieci może do nich dotrzeć bez poświadczeń. Oba handlery łączą dostarczony przez wywołującego parametr sessionId bezpośrednio ze ścieżką pliku przez path.join, a Node.js normalizuje segmenty .. podczas rozwiązywania, co pozwala nieuwierzytelnionemu atakującemu na odczyt dowolnego pliku .jsonl dostępnego z systemu plików serwera. Problem został naprawiony w wersji 5.1.0.

FreePBX to open source IP PBX. Przed wersjami 16.0.40 i 17.0.7 istnieje krytyczna podatność na zdalne wykonanie kodu (RCE) w module superfecta z powodu niebezpiecznego dołączania dowolnych plików PHP, co pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu PHP na serwerze z uprawnieniami użytkownika serwera WWW. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Podatność jest zakorzeniona w przypadkach options i save_options w module AJAX Superfecta. Kod dynamicznie dołącza pliki PHP z katalogu sources/ na podstawie danych dostarczonych przez użytkownika. Pozwala to atakującemu na wykonanie dowolnego kodu w połączeniu z tworzeniem dowolnych katalogów (np. przez moduł backup) i przesyłaniem plików ujawniających pełne ścieżki (np. przez moduł soundlang). Problem został naprawiony w wersjach 16.0.40 i 17.0.7.

FreePBX to open source IP PBX. Przed wersjami 16.0.72 i 17.0.7 istnieje krytyczna podatność w module kopii zapasowych FreePBX, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu na serwerze. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika, który ma wystarczające uprawnienia dostępu i/lub zapis do plików kopii zapasowych. Podatność jest spowodowana nieprawidłowym oczyszczaniem ścieżek w funkcji przywracania kopii zapasowych, co umożliwia atakującym przesyłanie złośliwych plików PHP do katalogu głównego WWW. Problem został naprawiony w wersjach 16.0.72 i 17.0.7.

FreePBX przed wersjami 16.0.10 i 17.0.5 zawiera krytyczną podatność w funkcji przesyłania i konwersji plików dźwiękowych, która pozwala uwierzytelnionemu atakującemu na zapis dowolnych plików, prowadzący do zdalnego wykonania kodu (RCE). Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Problem wynika z niedostatecznej sanityzacji ścieżek w procesie konwersji plików, umożliwiając ataki typu path traversal i umieszczenie złośliwych plików PHP w katalogu głównym serwera WWW.

FreePBX przed wersjami 16.0.39 i 17.0.7 pozwala użytkownikom uwierzytelnionym przez Panel Kontroli Użytkownika (UCP) na wykonywanie dowolnych poleceń na PBX jako użytkownik serwera WWW (zazwyczaj asterisk) przy użyciu specjalnie spreparowanych ciągów HTTP. Wymagany jest dostęp do UCP. Problem wynika z niedostatecznej sanityzacji niektórych parametrów URL używanych przez UCP, co pozwala na wykonanie binariów na serwerze poprzez staranne łączenie poleceń.

Bluehood monitoruje lokalną aktywność Bluetooth. Przed wersją 0.7.1, gdy auth_enabled jest ustawione w Bluehood, tylko procedury obsługi stron HTML wymuszały walidację sesji. Procedury obsługi /api/* (ustawienia, urządzenia, grupy, punkty końcowe per-urządzenie, w tym /api/device/{mac}/notes) nie wywoływały żadnej kontroli uwierzytelniania. Atakujący sieciowy dostępny na porcie pulpitu mógł odczytać dane śledzenia Bluetooth i modyfikować stan aplikacji — w tym URL heartbeat, okres przechowywania, grupy urządzeń i notatki per-urządzenie — bez ciasteczka sesji. Problem naprawiono w wersji 0.7.1.