Katalog podatności CVE

Niekompletna lista niedozwolonych danych wejściowych w walidatorze kodu Python narzędzia run_script w AWS MCP Server może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na wykonanie dowolnego kodu w swoim własnym izolowanym środowisku sesji za pomocą spreparowanego skryptu. AWS naprawiło ten problem po stronie usługi. Klient nie musi podejmować żadnych działań.

Podatność server-side request forgery w ścieżce pobierania modelu w AWS Multi Model Server w wersji 1.1.11 i wcześniejszych. Zdalny atakujący może kierować żądania do wewnętrznych adresów sieciowych za pomocą spreparowanego URL modelu. Projekt jest wycofany z eksploatacji i nie istnieje poprawiona wersja.

Tokio to środowisko uruchomieniowe do pisania aplikacji w Rust. W wersji 1.54.0 warunek wyścigu między tokio::time::Interval::poll_tick (w tym .tick().await) a sterownikiem czasu wielowątkowego środowiska mógł usunąć wewnętrzny wpis timera bez synchronizacji z wątkiem sterownika, który go uruchamiał. Wyścig powodował use-after-free na wakerze timera i stanie zadania w bezpiecznym Rust, co mogło prowadzić do panik asercji, uszkodzenia licznika referencji zadania lub uszkodzenia pamięci sterty. Problem naprawiono w wersji 1.54.1.

Błąd w module `crypto` Node.js powoduje, że wewnętrzne pamięci podręczne entropii używane przez `crypto.randomUUID()`, `crypto.randomUUIDv7()` i `crypto.randomInt()` są zapisywane w snapshotach startowych użytkownika (`--build-snapshot`) i aplikacjach jednoplikowych zbudowanych z `useSnapshot`.

Błąd w weryfikacji nazwy hosta TLS w Node.js pozwala certyfikatowi z tylko DNS SAN na uwierzytelnienie punktu końcowego IP, gdy klient łączy się przy użyciu niekanonicznej pisowni IPv4, takiej jak `0177.0.0.1`, `0x7f.0.0.1`, `2130706433` lub `127.1`.

Błąd w ponownym użyciu połączenia HTTP Agent w Node.js może spowodować, że klient zaakceptuje jako ważną odpowiedź wysłaną przed wysłaniem żądania. Jest to niekompletna poprawka CVE-2026-48931.

Goobi viewer to aplikacja webowa umożliwiająca wyświetlanie zdigitalizowanych materiałów w przeglądarce. Od wersji 22.04 do przed 26.05 nieuwierzytelniony endpoint REST GET /api/v1/index/{solrField}/spatial/search konkatenuje parametr zapytania region podany przez użytkownika bezpośrednio do ciągu zapytania Solr bez escapowania, usuwania parametrów lokalnych i wymuszania schematu w czasie wykonywania. Atakujący może wstrzyknąć składnię parametrów lokalnych Solr ({!parent ...}, {!join ...}) i operatory logiczne, aby dopasować rekordy georeferencyjne o ograniczonym dostępie, omijając filtr warunków dostępu. Problem został naprawiony w wersji 26.05.

W aplikacji Goobi viewer kilka endpointów Jakarta WebSocket (DownloadTaskEndpoint, CampaignEndpoint, AutocompleteEndpoint, UserEndpoint) akceptuje połączenia bez weryfikacji, czy powiązana sesja HttpSession należy do zalogowanego użytkownika, oraz nie waliduje nagłówka Origin względem listy dozwolonych. Nieuwierzytelniony atakujący może połączyć się z tymi endpointami, a poprzez CampaignEndpoint zanieczyścić mapę blokad stron crowdsourcingu i rozgłaszać sfałszowane komunikaty blokad, zakłócając pracę recenzentów.

W Goobi viewer starszy servlet RSS (RssResolver, GET /rss/) przyjmuje parametry q i filterQuery i konkatenuje je do zapytań Solr bez walidacji. Parametr q tworzy główną treść zapytania (owiniętą jedynie w nawiasy literalne), a filterQuery jest przekazywany bezpośrednio jako Solr fq. Nieuwierzytelniony atakujący może wstrzyknąć operatory logiczne Solr, aby wyjść z owinięcia i uczynić końcowy filtr warunków dostępu opcjonalnym, przez co rekordy o ograniczonym dostępie trafiają do generowanego kanału RSS.

W Goobi viewer funkcja SolrTools.cleanUpQuery() usuwa składnię parametrów lokalnych Solr ({!...}) z zapytań użytkownika przed przekazaniem ich do Solr. Wyrażenie regularne można obejść, owijając parametr lokalny w dodatkową parę nawiasów klamrowych ({{!...}}): zewnętrzne nawiasy są usuwane, wewnętrzny {!...} pozostaje nienaruszony i prawidłowy parametr lokalny Solr jest przekazywany dalej. Wada dotyczy wspólnego sanitizera, więc wpływa na każdy endpoint kierujący dane użytkownika przez cleanUpQuery.

Isar to system integracji do automatycznego generowania głównego systemu plików. W wersjach 0.11 i nowszych katalog /etc/apt/trusted.gpg.d jest tworzony ręcznie podczas bootstrapu, aby móc wdrażać lokalne klucze, przez co katalog należy do użytkownika wywołującego Isar zamiast do roota. Jeśli identyfikator użytkownika wywołującego jest taki sam jak nieuprzywilejowanego użytkownika wewnątrz obrazu, użytkownik ten może zmieniać istniejące klucze i wdrażać nowe, po cichu łamiąc ochronę integralności repozytorium apt.

Cacti to framework do monitorowania wydajności i błędów. Przed wersją 1.2.31 podatność na enumerację użytkowników pozwala atakującemu zidentyfikować prawidłowe nazwy użytkowników w usłudze Cacti. Przy próbie logowania aplikacja zwraca nieco inne komunikaty błędów w zależności od tego, czy podana nazwa użytkownika istnieje — różnica polega jedynie na wielkości litery "f" w słowie "failed".

Cacti zawiera uwierzytelnioną, przechowywaną iniekcję SQL drugiego rzędu w obsłudze elementów reguł drzewa automatyzacji. Użytkownik z uprawnieniami Automation (domyślnie rola General Administration) może zapisać dowolny fragment SQL w kolumnie automation_tree_rule_items.field, który jest później konkatenowany bezpośrednio do klauzuli SELECT ... AS source FROM ... w lib/api_automation.php :: create_all_header_nodes() i wykonywany, gdy administrator uruchomi automatyzację przez akcję masową "Apply Automation Rules". Wynik wstrzykniętego SELECT jest zapisywany w graph_tree_items.title i wyświetlany w interfejsie drzewa Cacti, stanowiąc kanał eksfiltracji danych.

W Goobi viewer przed wersją 26.05, po odwiedzeniu linku resetowania hasła aplikacja generuje hasło zastępcze w przewidywalny sposób i wysyła je e-mailem do właściciela konta. Niewystarczająca entropia pozwala atakującemu, który potrafi oszacować czas generowania po stronie serwera, na złamanie hasła metodą brute-force.

W Goobi viewer przed wersją 26.05 token resetowania hasła jest przewidywalnie oparty na czasie żądania resetu. Atakujący, który zna adres e-mail celu, może zażądać resetu, a następnie złamać token metodą brute-force. Wykorzystanie tej podatności samo w sobie wymusza nieautoryzowany reset hasła dowolnego konta.

GFI Archiver przed wersją 15.14 zawiera przechowywaną podatność cross-site scripting w konfiguracji zaplanowanych raportów MailInsights. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez parametr nazwy raportu do /Archiver/MailInsights.aspx; ładunek jest zapisywany przez ReportScheduling.btnSaveReport_Click() bez kodowania wyjścia i wykonywany w przeglądarce użytkownika, który utworzył raport, gdy następnie wyświetli stronę MailInsights.

Podatność reflected XSS na stronie logowania Zimbra Collaboration Suite pozwala nieuwierzytelnionemu atakującemu wykonać JavaScript przez parametr zrememberme. Spreparowany URL relogin wybiera wyświetlanie błędu dwuskładnikowego, które wstawia parametr do atrybutu ukrytego pola bez kodowania HTML. Ofiara otwierająca URL otrzymuje skrypt i treść kontrolowaną przez atakującego w ramach legalnego originu Zimbra, co umożliwia przechwycenie danych logowania.

Podatność typu LDAP filter injection w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi na odpytywanie normalnie niezwracanych atrybutów zasobów kalendarza przez SearchCalendarResourcesRequest. Zimbra escapuje wartości wyszukiwania, ale wstawia podane nazwy atrybutów bezpośrednio do wyrażeń filtrów LDAP bez walidacji. Atakujący może wstrzyknąć dodatkowe warunki i użyć powtarzanych zapytań, aby odzyskać czytelne atrybuty zasobów, takie jak wewnętrzne nazwy hostów skrzynek i trasy transportu poczty.

Podatność cross-account authorization w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi na wstawienie sfałszowanych rekordów udostępnionych plików do skrzynki innego użytkownika przez FileSharedWithMeRequest. Żądanie omija autoryzację delegowanego konta i akceptuje metadane plików, identyfikatory właściciela i zadeklarowane rozmiary wybrane przez atakującego bez walidacji odpowiedniego udostępnienia dokumentu. Atakujący może umieścić wpisy przypisane do innego rzeczywistego konta lokalnego bez interakcji ofiary.

Podatność sanitizacji CSS w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi z dostępem do Briefcase na opublikowanie dokumentu wyświetlającego treść kontrolowaną przez atakującego w ramach originu Zimbra. Podczas przetwarzania arkusza stylów zawierającego znaki nie-ASCII DefangFilter dołącza końcowy segment ASCII bez jego sanityzacji. HTML przechowywany jako application/x-zimbra-doc może zatem zachować odwołania URL CSS, które normalny sanityzator usuwa. Atakujący może udostępnić spreparowany dokument, który ładuje zewnętrzne zasoby i wyświetla formularz zbierający dane logowania.