Katalog podatności CVE

Parse Server przed wersjami 8.6.69 i 9.7.0-alpha.14 pozwala uwierzytelnionemu użytkownikowi na ominięcie ochrony niezmienności pól sesji (expiresAt, createdWith) poprzez wysłanie wartości null w żądaniu PUT do punktu końcowego aktualizacji sesji. Umożliwia to unieważnienie wygaśnięcia sesji, czyniąc ją ważną bezterminowo i omijając skonfigurowane zasady długości sesji.

MCP Java SDK przed wersjami 0.83.0, 1.0.1 i 1.1.1 zawiera zakodowaną na stałe podatność CORS z użyciem wildcarda. Pozwala to na dostęp do zasobów z dowolnego źródła.

W pakiecie Slippers dla Django, tag szablonu {% attrs %} nie koduje danych wyjściowych, co prowadzi do podatności XSS. Atakujący może wstrzyknąć dowolny HTML lub JavaScript poprzez zmienną kontekstową.

W libp2p-rust przed wersją 0.49.4 implementacja Gossipsub zawiera zdalnie osiągalny błąd paniki w obsłudze wygaśnięcia backoff. Po otrzymaniu spreparowanej wiadomości PRUNE z wartością backoff bliską maksymalnej, implementacja wykonuje niekontrolowane dodawanie czasu, co prowadzi do przepełnienia i paniki.

ClearanceKit ma defekt uruchomieniowy, który powoduje, że tylko reguły skompilowane są egzekwowane do czasu interakcji użytkownika z GUI. Reguły MDM i zdefiniowane przez użytkownika nie są stosowane.

Nieprawidłowa konfiguracja startowa Zscaler Client Connector na Windows może w rzadkich przypadkach spowodować, że ograniczona ilość ruchu nie będzie inspekcjonowana.

Search Guard FLX do wersji 4.0.1 umożliwia przekierowanie użytkownika na niezaufany URL za pomocą specjalnie spreparowanych żądań.

Parse Server przed wersjami 8.6.65 i 9.7.0-alpha.9 ma lukę w LiveQuery. Gdy wielu klientów subskrybuje tę samą klasę, współdzielone obiekty modyfikowane przez filtry danych wrażliwych mogą powodować wyciek chronionych pól lub danych uwierzytelniających do nieuprawnionych klientów. Ponadto modyfikacje z triggera afterEvent Cloud Code mogą wyciekać do innych subskrybentów.

W Parse Server przed wersjami 8.6.64 i 9.7.0-alpha.8, atakujący posiadający ważny token dostawcy uwierzytelniania oraz jeden kod odzyskiwania MFA lub jednorazowe hasło SMS może utworzyć wiele uwierzytelnionych sesji poprzez wysyłanie równoczesnych żądań logowania do endpointu authData. Obejmuje to gwarancję jednorazowości kodów MFA, umożliwiając utrzymanie sesji nawet po odwołaniu wykrytych sesji przez uprawnionego użytkownika.

W bibliotece go-git (implementacja gita w czystym Go) w wersjach od 5.0.0 do przed 5.17.1 złośliwie spreparowany plik .idx może powodować asymetryczne zużycie pamięci, prowadząc do wyczerpania dostępnej pamięci i warunku odmowy usługi (DoS). Eksploatacja wymaga zapisu do katalogu .git lokalnego repozytorium w celu utworzenia lub zmodyfikowania plików .idx. Podatność została załatana w wersji 5.17.1.

OpenClaw przed wersją 2026.3.24 zawiera podatność na ominięcie piaskownicy (sandbox bypass) w narzędziu wiadomości, która pozwala atakującym na odczyt dowolnych lokalnych plików poprzez użycie parametrów aliasów mediaUrl i fileUrl, które omijają walidację localRoots. Zdalni atakujący mogą wykorzystać tę podatność, kierując żądania plików przez niezweryfikowane parametry aliasów, aby uzyskać dostęp do plików poza zamierzonym katalogiem piaskownicy.

OpenClaw przed wersją 2026.3.28 zawiera brak ograniczenia szybkości w uwierzytelnianiu webhooków Nextcloud Talk. Atakujący mogą brute-force'ować słabe współdzielone sekrety, aby sfałszować zdarzenia webhooka.

OpenClaw przed 2026.3.28 zawiera podatność w rozszerzeniach Google Chat i Zalouser, gdzie polityki allowlist na poziomie grupy są wyciszane do otwartej polityki. Atakujący może ominąć ograniczenia nadawcy i wchodzić w interakcje z botami.

OpenClaw przed wersją 2026.3.28 pobiera i zapisuje przychodzące multimedia z kanałów Zalo przed weryfikacją autoryzacji nadawcy. Nieautoryzowani nadawcy mogą wymusić pobieranie sieciowe i zapis na dysku do magazynu multimediów, wysyłając wiadomości, które są następnie odrzucane.

Checkmk w wersji 2.5.0 (beta) przed 2.5.0b2 zawiera podatność na trwały XSS. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia hostów lub usług mogą wstrzyknąć dowolny JavaScript, który jest wykonywany w przeglądarkach innych użytkowników podczas wyszukiwania w Unified Search.

W Checkmk w wersji 2.5.0 (beta) przed 2.5.0b2 występuje podatność na trwały XSS. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia oczekujących zmian mogą wstrzyknąć złośliwy JavaScript do panelu bocznego oczekujących zmian, który wykona się w przeglądarkach innych użytkowników przeglądających ten panel.

RAUC w wersjach przed 1.15.2 zawiera podatność na przepełnienie liczb całkowitych w pakietach w formacie 'plain' o rozmiarze ładunku przekraczającym 2 GiB. Powoduje to, że sygnatura obejmuje tylko pierwsze bajty ładunku, co pozwala atakującemu na modyfikację niepodpisanej części.

Wtyczka Minify HTML dla WordPressa we wszystkich wersjach do 2.1.12 włącznie jest podatna na Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji 'minify_html_menu_options'. Nieuwierzytelnieni atakujący mogą zaktualizować ustawienia wtyczki poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia w link.

Wtyczka User Profile Builder dla WordPress do wersji 3.15.5 włącznie zawiera podatność Insecure Direct Object Reference w funkcji wppb_save_avatar_value() z powodu braku walidacji kontrolowanego przez użytkownika klucza. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą zmieniać właściciela dowolnych postów i załączników poprzez zmianę 'post_author'.

OpenClaw przed wersją 2026.3.8 zawiera podatność na ominięcie listy dozwolonych nadawców we wtyczce Microsoft Teams. Gdy lista dozwolonych tras zespołu/kanału jest skonfigurowana z pustym parametrem groupAllowFrom, syntezator wiadomości tworzy autoryzację dla dowolnego nadawcy, umożliwiając nieautoryzowanym nadawcom wyzwalanie odpowiedzi w dozwolonych trasach Teams.