Katalog podatności CVE

W bibliotece mint (Elixir) występuje podatność na niekontrolowane przydzielanie zasobów, umożliwiająca złośliwemu serwerowi HTTP/2 wyczerpanie pamięci klienta i spowodowanie odmowy usługi. Problem dotyczy wersji od 1.1.0 do 1.10.2.

Podatność typu cross-site scripting (XSS) w oprogramowaniu Agentis firmy Rolantis Information Technologies Tourism Industry and Trade Co. Ltd. wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia atak XSS wymierzony w atrybuty HTML.

Nieprawidłowe przetwarzanie parametrów w NeuVector pozwala każdemu uwierzytelnionemu użytkownikowi z uprawnieniem namespaced Runtime Policies (write) lub osobie z dostępem do wewnętrznej pary kluczy certyfikatu gRPC NeuVector na wstrzyknięcie poleceń OS w uprzywilejowanym kontenerze enforcer, co może prowadzić do całkowitego przejęcia węzła roboczego.

W kliencie kubectl (polecenie kubectl cp) na Windows wykryto podatność typu path traversal. Podczas kopiowania plików z kontenera kubectl uruchamia tar wewnątrz kontenera, przesyła archiwum i rozpakowuje je lokalnie; złośliwy tar może wykonać dowolny kod i zapisać pliki w dowolnych ścieżkach na maszynie użytkownika.

Zohocorp ManageEngine DDI Central w wersjach przed 6201 jest podatny na dowolny zapis plików poprzez synchronizację konfiguracji HA Failover, co prowadzi do zdalnego wykonania kodu.

W Thinkware U3000 do wersji 1.02.04 wykryto lukę w funkcji get_file w pliku /tmp/wpa_supplicant.conf komponentu TCP Service. Manipulacja prowadzi do nieprawidłowej kontroli dostępu, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany.

W Thinkware U3000 do wersji 1.02.04 wykryto lukę w funkcji PUT_FILE w pliku /tmp/wpa_supplicant.conf komponentu TCP Service. Manipulacja argumentem path może prowadzić do nieprawidłowej kontroli dostępu.

W refly-ai refly do wersji 1.1.0 wykryto lukę w nieznanym przetwarzaniu pliku apps/api/src/modules/config/app.config.ts komponentu JWT Token Handler. Manipulacja wejściem 'test' prowadzi do hard-coded credentials.

Usługa zarządzania instancjami Apache Karaf (InstanceServiceImpl) tworzy polecenie uruchamiające podrzędną maszynę JVM przez konkatenację ciągów, a następnie wykonuje je przez /bin/sh lub cscript. Wartość javaOpts dostarczona przez wywołującego jest wstawiana do tego ciągu bez cudzysłowów, co pozwala na interpretację znaków specjalnych powłoki (;, |, `, $(...)) i wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami użytkownika procesu Karaf.

W Google Cloud Application Integration w wersjach przed 2026-06-28 występuje podatność deserializacji niezaufanych danych w zadaniu JavaScript. Uwierzytelniony użytkownik z uprawnieniami standardowymi może uruchomić dowolny kod na współdzielonych serwerach produkcyjnych, obchodząc zabezpieczenia parametrów za pomocą specjalnie spreparowanego skryptu.

W komponencie EmailTask w Google Cloud Application Integration w wersjach przed 2026-06-30 na Google Cloud Platform występuje podatność typu Confused Deputy. Umożliwia ona uwierzytelnionemu atakującemu odczyt i eksfiltrację dowolnych plików wewnętrznych Google poprzez spreparowaną ścieżkę pliku załącznika. Podatność została załatana 30 czerwca 2026 r. i nie są wymagane żadne działania klientów.

W Google Cloud Application Integration w wersjach przed 2026-06-17 występuje podatność nieprawidłowej autoryzacji w konfiguracji zadań. Uwierzytelniony użytkownik Google Cloud może wykonywać dowolne wewnętrzne wywołania RPC z wnętrza sieci produkcyjnej Google pod uprzywilejowaną tożsamością, używając typu zadania dostępnego wyłącznie wewnętrznie.

W Zohocorp ManageEngine DDI Central 6.2.0 w wersji poniżej 6201 występuje podatność wstrzyknięcia konfiguracji Keepalived w procesie konfiguracji HA. Uwierzytelniony użytkownik na poziomie operatora może zmodyfikować konfigurację Keepalived i potencjalnie wykonać polecenia jako root na hoście DDI Central.

ManageEngine DDI Central w wersjach poniżej 6201 jest podatny na wstrzyknięcie poleceń PowerShell podczas wypychania rekordów SPF/TXT w Windows DNS, co prowadzi do zdalnego wykonania kodu. Podatność występuje w procesie przetwarzania rekordów DNS.

ManageEngine DDI Central w wersjach poniżej 6201 jest podatny na wstrzyknięcie poleceń w polu nazwy polityki rozwiązywania zapytań DNS w Windows, co prowadzi do zdalnego wykonania kodu. Podatność występuje w kontekście rozwiązywania zapytań DNS.

W drukarkach Ricoh SP 330DN, SP 221, SP C252SF i Aficio SP 3500SF (do wersji 20260813) wykryto podatność w komponencie HTTP Multipart Form-Data Parser, która pozwala na zdalne przeprowadzenie ataku DoS (odmowa usługi). Exploit został opublikowany publicznie.

W urządzeniu FAST FAC1900R w wersji 20190827_2.0.2.2 wykryto podatność w funkcji copy_msg_element komponentu devdiscover Service. Manipulacja danymi prowadzi do przepełnienia bufora na stosie, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

W urządzeniu FAST FAC1200R w wersji 5.0_20201119_1.0.2 wykryto podatność w funkcji MmtAtePrase komponentu MmtAtePrase Parser. Manipulacja powoduje przepełnienie bufora na stosie, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

LDAPCache i LDAPBackingEngine wstawiają wartości %u, %dn i %fqdn do szablonów filtrów LDAP (userFilter, roleFilter) bez pełnego escapowania znaków wymaganych przez RFC 4515. Przed poprawką stosowano jedynie podwójne backslashowanie, co nie zabezpiecza znaków *, (, ) oraz NUL. Nazwa logowania zawierająca te znaki może zmienić strukturę filtra, np. zamieniając dopasowanie równościowe na wieloznaczne lub zamykając/otwierając klauzule filtra.

W TPVEnlanube wykryto podatność Stored Cross-Site Scripting (XSS) w parametrze 'Nombre Completo' w punkcie końcowym '/administrator/index.php?option=com_virtuemart&page=admin.user_list'. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod i wykonać go w przeglądarkach użytkowników bez ich zgody.