Katalog podatności CVE

Serwer wnioskowania NVIDIA Triton zawiera podatność, która może prowadzić do uszkodzenia wewnętrznego stanu. Udane wykorzystanie tej podatności może skutkować odmową usługi.

NVIDIA Megatron-LM zawiera podatność w skrypcie konwersji hybrydowej, która umożliwia atakującemu zdalne wykonanie kodu (RCE) poprzez nakłonienie użytkownika do załadowania złośliwie przygotowanego pliku. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Megatron LM zawiera podatność w ładowaniu konfiguracji kwantyzacji, która może umożliwić zdalne wykonanie kodu. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

Serwer HTTP NVIDIA Triton Inference Server Sagemaker zawiera podatność, która pozwala atakującemu na wywołanie wyjątku. Udane wykorzystanie tej podatności może prowadzić do odmowy usługi.

pyLoad to darmowy menedżer pobierania napisany w Pythonie. W wersjach od 0.4.0 do przed wersją 0.5.0b3.dev97, punkt końcowy API set_config_value() pozwala użytkownikom z uprawnieniami SETTINGS na modyfikację dowolnej opcji konfiguracyjnej bez ograniczeń, co może prowadzić do zdalnego wykonania kodu.

MinIO to system przechowywania obiektów o wysokiej wydajności. Przed wersją RELEASE.2026-03-17T21-25-16Z, punkt końcowy AssumeRoleWithLDAPIdentity w usłudze STS (Security Token Service) był podatny na ataki brute-force na poświadczenia LDAP z powodu dwóch połączonych słabości: rozróżnialnych odpowiedzi błędów umożliwiających enumerację nazw użytkowników oraz braku ograniczeń liczby prób uwierzytelnienia.

Dagu to silnik workflow z wbudowanym interfejsem użytkownika w sieci. W wersjach od 2.0.0 do przed 2.3.1, niektóre API nie weryfikowały poprawności nazwy DAG, co pozwalało na przechodzenie poza katalogi DAG przy użyciu zakodowanych ukośników w parametrach URL.

NiceGUI to framework UI oparty na Pythonie. W wersjach przed 3.9.0, metody app.add_media_file() i app.add_media_files() akceptują parametr zapytania kontrolowany przez użytkownika, który wpływa na sposób odczytu plików podczas strumieniowania, co może prowadzić do problemów z wydajnością.

W narzędziu oRPC, które służy do budowy API zgodnych z OpenAPI, przed wersją 1.13.9 występowała podatność na przechowywane ataki XSS w generowanej dokumentacji OpenAPI. Atakujący, mając kontrolę nad dowolnym polem w specyfikacji OpenAPI, mógł wykonać dowolny kod JavaScript podczas przeglądania dokumentacji API przez użytkownika.

FileRise to samodzielnie hostowany menedżer plików / serwer WebDAV. Przed wersją 3.10.0 występował problem z kontrolą dostępu w integracji z ONLYOFFICE, który pozwalał uwierzytelnionemu użytkownikowi z dostępem tylko do odczytu uzyskać podpisany adres URL zwrotny do zapisu pliku i bezpośrednio sfałszować ten adres URL, aby nadpisać plik treścią kontrolowaną przez atakującego.

FileRise to samodzielnie hostowany menedżer plików i serwer WebDAV. W wersjach od 1.0.1 do przed 3.10.0 parametr resumableIdentifier w obsłudze przesyłania chunków (UploadModel::handleUpload()) jest bezpośrednio łączony z ścieżkami systemu plików bez żadnej sanitizacji.

sbt to narzędzie do budowy aplikacji w językach Scala, Java i innych. W wersjach od 0.9.5 do przed 1.12.7 na systemie Windows, sbt używa Process('cmd', '/c', ...) do uruchamiania poleceń VCS (git, hg, svn). Fragment URI (gałąź, tag, rewizja) jest kontrolowany przez użytkownika i przekazywany do tych poleceń bez walidacji.

W UniFi Network Server występuje podatność na niewłaściwą walidację danych wejściowych, która może umożliwić nieautoryzowany dostęp do konta, jeśli właściciel konta zostanie zmanipulowany do kliknięcia w złośliwy link.

Parse Server to otwarte oprogramowanie backendowe, które można wdrożyć na każdej infrastrukturze obsługującej Node.js. Przed wersjami 8.6.59 i 9.6.0-alpha.53, atakujący z dostępem do klucza głównego mógł wykonać dowolne polecenia SQL na bazie danych PostgreSQL poprzez wstrzykiwanie metaznaków SQL w parametrach nazw pól w etapie agregacji $group lub operacji distinct.

Parse Server, otwarte źródło backendu, przed wersjami 8.6.58 i 9.6.0-alpha.52, pozwalał nieautoryzowanym atakującym na wywołanie odmowy usługi poprzez wysyłanie żądań uwierzytelnienia z dowolnymi, niekonfigurowanymi nazwami dostawców. Serwer wykonuje zapytanie do bazy danych dla każdego niekonfigurowanego dostawcy, co prowadzi do pełnego skanowania bazy danych użytkowników.

Parse Server to otwarte oprogramowanie backendowe, które można wdrożyć na każdej infrastrukturze obsługującej Node.js. W wersjach przed 8.6.56 i 9.6.0-alpha.45 komponent LiveQuery nie egzekwował ustawienia requestComplexity.queryDepth podczas przetwarzania żądań subskrypcyjnych WebSocket, co mogło prowadzić do nadmiernej rekurencji i zużycia CPU.

Parse Server, otwarte źródło backendu działającego na Node.js, przed wersjami 8.6.55 i 9.6.0-alpha.44, jest podatny na atak, w którym napastnik może wysłać nieautoryzowane żądanie HTTP z głęboko zagnieżdżonym zapytaniem zawierającym operatory logiczne, co prowadzi do zawieszenia procesu serwera. Serwer staje się całkowicie nieodpowiedzialny i wymaga ręcznego restartu.

Froxlor to oprogramowanie do zarządzania serwerami typu open source. W wersjach przed 2.3.5, punkt końcowy API DomainZones.add (dostępny dla klientów z włączonym DNS) nie weryfikował pola content dla kilku typów rekordów DNS (LOC, RP, SSHFP, TLSA), co pozwalało atakującemu na wstrzykiwanie nowych linii i dyrektyw pliku strefy BIND (np. $INCLUDE).

Użytkownik Zabbix z niskimi uprawnieniami i dostępem do API może wykorzystać podatność blind SQL injection w pliku include/classes/api/CApiService.php, wykonując dowolne zapytania SQL przez parametr sortfield. Mimo że wyniki nie są zwracane bezpośrednio, atakujący może wyeksfiltrować dane z bazy technikami czasowymi, co może prowadzić do ujawnienia identyfikatorów sesji i przejęcia konta administratora.

Walidacja danych wejściowych dla skryptów akcji hosta i zdarzeń w Zabbix używa wyrażeń regularnych (ustawianych przez administratora), ale działa w trybie wieloliniowym. Jeśli w walidacji użyto kotwic ^ i $, wstrzyknięty znak nowej linii pozwala uwierzytelnionym użytkownikom ominąć sprawdzenie i wstrzyknąć komendy powłoki.