Katalog podatności CVE

W libvirt podczas klonowania lub konwersji woluminów magazynu, nowo utworzone obrazy woluminów były tymczasowo światłoczytelne. Było to spowodowane przez narzędzie qemu-img działające z nadmiernie permisywnymi ustawieniami tworzenia plików, co pozwalało każdemu lokalnemu użytkownikowi na odczyt pełnej zawartości dysku gościa. Podatność może prowadzić do ujawnienia wrażliwych informacji z maszyn wirtualnych.

HCL BigFix Mobile jest podatny na Reflected Cross-Site Scripting (Reflected XSS) z powodu niewystarczającej walidacji i kodowania wyjściowego danych kontrolowanych przez użytkownika.

Silnik zasad ACL w Vault nie egzekwował spójnie reguły deny z wildcardem (globem) dla żądań LIST z końcowym ukośnikiem na zablokowanej ścieżce. Token z szerszą regułą allow i węższą regułą deny może wyliczyć nazwy wpisów w ścieżce, do której nie powinien mieć dostępu.

Discourse, platforma dyskusyjna open-source, przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 umożliwiała uwierzytelnionemu użytkownikowi podsłuchiwanie prywatnych rozmów bota AI przez strumień odpowiedzi bota AI.

Discourse przed wersją 2026.1.6 renderował pola poprzedniej i nowej wartości w modelu dziennika akcji personelu bez escapowania, co mogło prowadzić do przechowywanego ataku XSS w interfejsie personelu.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w pliku plugins/chat/lib/chat/onebox_handler.rb rozwiązywał wątek czatu na podstawie parametru thread_id niezależnie od channel_id, zanim sprawdził, czy użytkownik może podglądać wybrany kanał. Uwierzytelniony użytkownik może połączyć publiczny identyfikator kanału z prywatnym identyfikatorem wątku w żądaniu /onebox.json i uzyskać treść prywatnych wiadomości wątku.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w SiteSerializer.anonymous_default_navigation_menu_tags serializował tagi z SiteSetting.default_navigation_menu_tags bez zastosowania DiscourseTagging.filter_visible dla anonimowego widza. Nieuwierzytelniony użytkownik może pobrać nazwy i opisy ograniczonych tagów przez /site.json, gdy tagi są ograniczone przez niedostępne kategorie, grupy tagów kategorii lub uprawnienia grup tagów.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w funkcjach TopicLink.extract_from, TopicLink.ensure_entry_for i TopicLink.duplicate_lookup nie egzekwował spójnie kontroli Guardian.can_see? podczas przetwarzania linków wewnętrznych. Uwierzytelniony użytkownik może przesłać linki do ograniczonych tematów, prywatnych wiadomości lub ukrytych postów i otrzymać znormalizowane slugi lub tytuły w odpowiedzi duplicate_lookup w composer_messages, mimo że cele nie są widoczne dla tego użytkownika.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w Onebox::DomainChecker.is_blocked? porównuje nazwy hostów z wpisami SiteSetting.blocked_onebox_domains w sposób uwzględniający wielkość liter, co pozwala atakującemu ominąć skonfigurowane ograniczenia domen Onebox przez zmianę wielkości liter w nazwie hosta docelowego przekierowania.

Discourse przed wersjami 2026.1.7, 2026.6.2, 2026.7.1 i 2026.8.0-latest.1 ma podatność na wstrzykiwanie HTML w PrettyText.format_for_email, ponieważ wartości atrybutów cooked są ponownie parsowane jako znaczniki. Specjalnie spreparowane atrybuty iframe Vimeo, URL-e bezpiecznych uploadów, wymiary lub wartości data-slug hashtagów mogą spowodować, że zdekodowany tekst atrybutu zostanie zinterpretowany jako HTML. Podatna konwersja nie waliduje również ściśle hosta i ścieżki iframe Vimeo, co pozwala na konwersję iframe spoza dozwolonej listy Vimeo.

Chatwoot przed wersją 4.9.0 pozwalał uwierzytelnionym administratorom kont na przenoszenie Portali, Reguł Automatyzacji, Makr i Kanałów Twilio do innych kont przez parametr account_id. Może to złamać izolację dzierżawców i spowodować ekspozycję danych między kontami, nieautoryzowane zmiany konfiguracji lub utratę dostępu do przeniesionych zasobów.

HCL BigFix Mobile jest podatny na ujawnienie informacji z powodu nieprawidłowego obsługiwania wyjątków i szczegółowego raportowania błędów.

Walidator adresów URL webhooków w `website/notifications/webhooks.py` używa `ip.is_global` do odrzucania adresów niepublicznych po rozwiązywaniu DNS. Adresy przejściowe IPv6 (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`) są klasyfikowane przez IANA jako globalnie rutowalne, więc `is_global` zwraca `True`, nawet gdy osadzony cel IPv4 jest prywatny, pętla zwrotna lub metadane chmury. Atakujący może zarejestrować webhook wskazujący na nazwę hosta, która rozwiązuje się na adres przejściowy, aby ominąć zabezpieczenie SSRF i eksfiltrować dane o podatnościach do wewnętrznego punktu końcowego. Podatność została wprowadzona w wersji niebędącej wydaniem. Poprawka została już naniesiona na HEAD. Dotyczy tylko organizacji uruchamiających HEAD.

Dotknięte wersje MISP cti-transmute ujawniają adresy e-mail użytkowników przez punkt końcowy listy obserwowanych kont. Gdy uwierzytelniony użytkownik obserwuje inne konto, get_following() zawiera pole e-mail obserwowanego użytkownika w odpowiedzi API obok jego nazwy, ID użytkownika i daty obserwacji. Ponieważ adres e-mail nie jest wymagany do funkcjonalności, a inne listy użytkowników go pomijają, uwierzytelniony atakujący może systematycznie obserwować użytkowników i zbierać ich adresy e-mail. Poprawka usuwa user.email z zwracanego obiektu.

W dotkniętych wersjach MISP cti-transmute punkt końcowy szczegółów historii konwersji wykonuje niepełną kontrolę autoryzacji. Gdy rekord historii odnosi się do usuniętej konwersji, powiązane wyszukiwanie konwersji zwraca None. Poprzednia logika odmawiała dostępu tylko wtedy, gdy obiekt konwersji istniał i kontrola widoczności nie powiodła się. W rezultacie usunięte konwersje omijały kontrolę autoryzacji, a ich zachowane dane wejściowe/wyjściowe mogły zostać ujawnione użytkownikowi, który mógł zażądać odpowiedniego wpisu historii. Commit z 22 lipca 2026 zmienia logikę, aby odmawiać dostępu zawsze, gdy konwersja jest nieobecna lub żądający nie ma uprawnień.

CTI-Transmute zawiera podatność na trwały atak XSS w grafie konwersji, który wizualizuje przekonwertowane dane MISP i STIX. Wartości kontrolowane przez atakującego, pochodzące z danych CTI, były przekazywane do parserów HTML w interfejsie grafu bez odpowiedniej neutralizacji, co pozwalało na wykonanie złośliwego kodu. Podatność obejmuje etykiety węzłów, krawędzi, właściwości oraz funkcję otwierania surowego JSON.

Bitwarden Server przed wersją 2026.7.2 nie weryfikuje, czy wywołujący jest członkiem organizacji wskazanej w treści żądania POST /collect, co pozwala każdemu uwierzytelnionemu użytkownikowi na zapisywanie sfałszowanych, dowolnie datowanych wpisów do dziennika audytu dowolnej organizacji.

ReadyEcommerce przed wersją 4.5.2 zawiera podatność na trwały cross-site scripting (XSS), która pozwala uwierzytelnionym klientom na wstrzykiwanie złośliwych ładunków HTML przez systemy czatu i wiadomości biletów wsparcia, wykorzystując nieoczyszczone renderowanie przez dyrektywę v-html w Messages.vue, RightChatSidebar.vue, SupportTicketMessages.vue i SupportTicketDetails.vue. Atakujący mogą wysyłać spreparowane treści wiadomości, które wykonują dowolny JavaScript w przeglądarce właściciela sklepu lub administratora, który przegląda wiadomość, umożliwiając kradzież ciasteczek sesji i przejęcie konta.

Nieprawidłowa weryfikacja podpisu kryptograficznego oraz nieprawidłowe sprawdzanie nietypowych lub wyjątkowych warunków w Estońskim Systemie Informacyjnym (RIA) libdigidocpp, DigiDoc4, DigiDoc na Androida i DigiDoc na iOS. Problem dotyczy libdigidocpp od 4.1.0 przed 4.2.1; DigiDoc4 od 4.7.0 przed 4.8.2; DigiDoc na Androida od 2.7.0 przed 2.7.2; DigiDoc na iOS od 2.8.0 przed 2.8.1.

Magnolia CMS jest podatny na trwały XSS w funkcji importu. Atakujący z uprawnieniami edytora może wstrzyknąć dowolny HTML i JS do nazwy przesłanego obrazu, który zostanie wyrenderowany/wykonany podczas otwierania przesłanego obrazu. Problem został naprawiony w wersji 6.3.10.