Katalog podatności CVE

Wersje Apache Airflow od 3.1.0 do 3.1.7 mają lukę w autoryzacji w punktach końcowych Human-in-the-Loop (HITL) API wykonania, co pozwala każdemu uwierzytelnionemu zadaniu na odczyt, zatwierdzenie lub odrzucenie workflow HITL należących do innych zadań.

Wersje Apache Airflow od 3.1.0 do 3.1.7 mają problem z ustawieniem tokena sesji (_token) w ciasteczkach na ścieżkę=/, niezależnie od skonfigurowanego base_url. To umożliwia aplikacjom współhostowanym w tej samej domenie przechwytywanie ważnych tokenów sesji Airflow z nagłówków żądań HTTP, co prowadzi do przejęcia sesji bez atakowania samego Airflow.

Rozszerzenie nie resetuje poprawnie wygenerowanego kodu MFA po udanej autoryzacji. Może to prowadzić do ominięcia MFA podczas przyszłych prób logowania, gdy użytkownik poda pusty ciąg jako kod MFA do dostawcy MFA rozszerzenia.

Rozszerzenie nieprawidłowo definiuje dozwolone klasy używane podczas deserializacji metadanych dotyczących błędów transportu. Atakujący może wykorzystać to do wykonania nieufnego kodu zserializowanego.

Biblioteka sjcl przed wersją 1.0.9 nie weryfikuje, czy punkty klucza publicznego leżą na krzywej eliptycznej w sjcl.ecc.basicKey.publicKey(). Atakujący może odzyskać prywatny klucz ECDH ofiary, wysyłając spreparowane klucze publiczne poza krzywą i obserwując wyniki ECDH. Funkcja dhJavaEc() zwraca surową współrzędną x bez haszowania, co stanowi wyrocznię tekstu jawnego.

W bibliotece libucl znaleziono lukę, która pozwala zdalnemu atakującemu na wykorzystanie specjalnie przygotowanego wejścia w formacie Universal Configuration Language (UCL) z kluczem zawierającym osadzony bajt null. Może to prowadzić do błędu segmentacji w funkcji `ucl_object_emit`, co skutkuje odmową usługi (DoS) dla dotkniętego systemu.

Wtyczka WowStore – Store Builder & Product Blocks dla WooCommerce w WordPressie jest podatna na atak typu SQL Injection poprzez parametr 'search' we wszystkich wersjach do i włącznie z 4.4.3. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W platformie zarządzania Tiandy Easy7 zidentyfikowano podatność, która dotyczy nieznanej funkcji pliku /rest/preSetTemplate/getRecByTemplateId. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co może być wykorzystane zdalnie.

Zidentyfikowano słabość w platformie zarządzania Tiandy Easy7 w wersji 7.17.0. Wpływający element to nieznana funkcja pliku /rest/devStatus/getDevDetailedInfo komponentu Endpoint, która może prowadzić do wstrzyknięcia SQL poprzez manipulację argumentem ID.

W platformie zarządzania Tiandy Easy7 w wersji 7.17.0 odkryto lukę bezpieczeństwa. Problem dotyczy nieznanej funkcji w pliku /rest/devStatus/queryResources komponentu Endpoint, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem areaId.

Wersje ZwickRoell Test Data Management przed 3.0.8 zawierają podatność na lokalne włączenie pliku (LFI) w punkcie końcowym /server/node_upgrade_srv.js. Nieautoryzowany atakujący może wykorzystać sekwencje przechodzenia katalogów przez parametr firmware, aby uzyskać dostęp do dowolnych plików na serwerze.

Skrypt `flow/admin/moniteur.php` w panelu administracyjnym Use It Flow przed wersją 10.0.0 zawiera podatność na zdalne wykonanie kodu. Atakujący może przekazać niesprawdzony parametr `action` w żądaniu GET, który po niewystarczającej walidacji jest wykonywany przez funkcję `eval()`. Mimo sprawdzenia `method_exists()`, walidacja dotyczy tylko części przed pierwszym nawiasem `(`, co pozwala na dołączenie dowolnego kodu PHP po prawidłowym wywołaniu metody.

Craft CMS to system zarządzania treścią (CMS), który ma podatność na zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie zachowań w ElementIndexesController i FieldsController. Problem występuje w wersjach od 4.0.0-RC1 do przed 4.17.5 oraz od 5.0.0-RC1 do przed 5.9.11, przy włączonych uprawnieniach administratora panelu kontrolnego Craft oraz allowAdminChanges.

Craft CMS to system zarządzania treścią (CMS), w wersjach od 5.6.0 do przed 5.9.11 występuje podatność w pliku src/controllers/EntryTypesController.php. Tablica $settings z funkcji parse_str jest przekazywana bezpośrednio do Craft::configure(), co umożliwia wstrzykiwanie zachowań/handlerów zdarzeń Yii2 za pomocą kluczy prefiksowanych 'as' lub 'on'.

Chamilo LMS to system zarządzania nauczaniem. W wersji 1.11.34 i wcześniejszych występuje podatność na wstrzykiwanie SQL w punkcie końcowym AJAX statystyk, gdzie parametry date_start i date_end są bezpośrednio osadzane w surowym ciągu SQL bez odpowiedniej sanitizacji.

Chamilo LMS to system zarządzania nauczaniem. Przed wersją 1.11.36 istniała podatność na nieautoryzowane przesyłanie plików w funkcji importu H5P, która pozwalała uwierzytelnionym użytkownikom z rolą nauczyciela na zdalne wykonanie kodu (RCE). Walidacja pakietu H5P sprawdzała jedynie istnienie pliku h5p.json, nie blokując jednak plików .htaccess ani plików PHP z alternatywnymi rozszerzeniami.

Wtyczka Webhooks dla Craft CMS w wersjach od 3.0.0 do 3.2.0 renderuje treści dostarczone przez użytkownika przez funkcję renderString() Twiga bez ochrony sandboxa. Umożliwia to uwierzytelnionemu użytkownikowi z dostępem do panelu administracyjnego i uprawnieniami do wtyczki wstrzyknięcie kodu szablonu Twig, który wywołuje dowolne funkcje PHP, nawet gdy allowAdminChanges jest ustawione na false. Problem naprawiono w wersji 3.2.0.

Brak weryfikacji własności S3 w Bedrock AgentCore Starter Toolkit przed wersją v0.1.13 może umożliwić zdalnemu atakującemu wstrzyknięcie kodu podczas procesu budowy, co prowadzi do wykonania kodu w AgentCore Runtime.

Podatność CVE-2026-4224 dotyczy parsera Expat, który przy rejestrowanym ElementDeclHandlerze przetwarza wewnętrzną definicję typu dokumentu z głęboko zagnieżdżonym modelem treści, co prowadzi do przepełnienia stosu C.

Poprawka dla CVE-2026-0672, która odrzucała znaki kontrolne w http.cookies.Morsel, była niekompletna. Metody Morsel.update(), operator |= oraz ścieżki deserializacji (unpickling) nie zostały załatane, co pozwala na ominięcie walidacji wejścia przez znaki kontrolne. Ponadto BaseCookie.js_output() brakuje walidacji wyjścia zastosowanej w BaseCookie.output().