Katalog podatności CVE

Discourse to otwartoźródłowa platforma dyskusyjna. Przed wersjami 2026.3.0-latest.1, 2026.2.1 i 2026.1.2, nieautoryzowany atakujący mógł spowodować, że strona autoryzacji Discourse wyświetlałaby domenę kontrolowaną przez atakującego, co ułatwiało ataki inżynierii społecznej na użytkowników.

Systemy WebCTRL, które komunikują się za pomocą protokołu BACnet, dziedziczą brak uwierzytelniania na warstwie sieciowej. WebCTRL nie wprowadza dodatkowej walidacji ruchu BACnet, co pozwala atakującemu z dostępem do sieci na fałszowanie pakietów BACnet skierowanych do serwera WebCTRL lub powiązanych kontrolerów AutomatedLogic.

Podatność CVE-2026-25086 pozwala atakującemu na związanie się z tym samym portem, który jest używany przez WebCTRL. Dzięki temu atakujący może tworzyć i wysyłać złośliwe pakiety oraz podszywać się pod usługę WebCTRL bez potrzeby wstrzykiwania kodu do oprogramowania WebCTRL.

Zidentyfikowano podatność w PbootCMS do wersji 3.2.12, która dotyczy funkcji checkUsername w pliku apps/home/controller/MemberController.php komponentu logowania użytkowników. Manipulacja argumentem Username prowadzi do wstrzykiwania SQL.

SiYuan to system zarządzania wiedzą osobistą. W wersjach przed 3.6.2 jądro SiYuan udostępnia nieautoryzowany punkt końcowy do serwowania plików pod `/appearance/*filepath`, co umożliwia atakującym przeprowadzenie ataku typu directory traversal i odczytanie dowolnych plików dostępnych dla procesu serwera.

W barebox, bootloaderze, występuje podatność na weryfikację podpisu FIT, która pozwala atakującemu na oszukanie bootloadera w celu uruchomienia innych obrazów niż te, które zostały zweryfikowane w ramach podpisanej konfiguracji. Problem dotyczy wersji od 2016.03.0 do przed 2026.03.1 oraz odpowiednich backportów do 2025.09.3.

W bibliotece NLTK (Natural Language Toolkit) w wersjach 3.9.3 i wcześniejszych, mechanizm pobierania nie weryfikuje atrybutów `subdir` i `id` podczas przetwarzania zdalnych plików indeksu XML. Atakujący może kontrolować zdalny serwer XML, aby dostarczyć złośliwe wartości zawierające sekwencje przejścia do katalogu nadrzędnego (np. `../`), co umożliwia tworzenie dowolnych katalogów, plików oraz nadpisywanie istniejących plików.

Podatność w bibliotece NLTK (Natural Language Toolkit) w wersjach 3.9.3 i wcześniejszych umożliwia nieuwierzytelnionemu atakującemu zdalne zatrzymanie lokalnego serwera HTTP WordNet Browser poprzez wysłanie żądania GET /SHUTDOWN%20THE%20SERVER. Powoduje to natychmiastowe zakończenie procesu za pomocą os._exit(0), co prowadzi do odmowy usługi (DoS).

Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. W wersjach od 3.30.6 i wcześniejszych, punkt końcowy podglądu zapytań źródła danych REST (POST /api/queries/preview) wykonuje żądania HTTP po stronie serwera do dowolnego URL dostarczonego przez użytkownika w polu fields.path bez walidacji.

SimpleJWT to prosta biblioteka JSON web token napisana w PHP. Przed wersją 1.1.1, nieautoryzowany atakujący mógł przeprowadzić atak typu Denial of Service poprzez manipulację nagłówkiem JWE, gdy używane były algorytmy PBES2.

SiYuan to system zarządzania wiedzą osobistą. W wersjach przed 3.6.2 serwer WebSocket jądra SiYuan akceptuje nieautoryzowane połączenia, gdy obecny jest określony parametr zapytania 'auth keepalive'. Po nawiązaniu połączenia, przychodzące wiadomości są analizowane przy użyciu niekontrolowanych asercji typów na JSON kontrolowanym przez atakującego.

Biblioteka HAPI FHIR przed wersją 6.9.0 wysyła te same nagłówki HTTP do wszystkich hostów podczas przekierowań, co może ujawnić poufne dane lub umożliwić podszywanie się pod klienta.

Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. Taka implementacja prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.

Interfejs programowania aplikacji WebSocket nie ma ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.

Interfejs programowania aplikacji WebSocket nie posiada ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.

Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. To prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.

Podatność CVE-2026-22163 dotyczy niewłaściwego użycia interfejsu IOCTL modułu jądra DDK przez złośliwe oprogramowanie. Umożliwia to modyfikację GPU w sposób pozwalający na zapisywanie do dowolnych stron pamięci fizycznej.

Statamic to system zarządzania treścią (CMS) oparty na Laravel i Git. Przed wersjami 5.73.14 i 6.7.0 istniała podatność na XSS typu stored w ponownym przesyłaniu zasobów SVG, która pozwalała uwierzytelnionym użytkownikom z uprawnieniami do przesyłania zasobów na ominięcie sanitizacji SVG i wstrzyknięcie złośliwego JavaScriptu, który był wykonywany podczas wyświetlania zasobu.

Allure 2 w wersji 2.x, narzędzie do raportowania testów, jest podatne na odczyt dowolnych plików poprzez przejście ścieżki w wersjach przed 2.38.0. Atakujący może stworzyć złośliwy plik wynikowy, który wskazuje na wrażliwy plik w systemie gospodarza, co skutkuje jego uwzględnieniem w końcowym raporcie.

ArcSearch dla systemu Android w wersjach przed 1.12.7 może wyświetlać inna domenę w pasku adresu niż treść, która jest pokazywana, co umożliwia oszustwo w pasku adresu po interakcji użytkownika z przygotowanymi treściami internetowymi.