Katalog podatności CVE

Black, narzędzie do formatowania kodu Python, w wersjach od 24.3.0 do 26.3.1 zapisuje pliki cache, których nazwa jest tworzona na podstawie opcji formatowania. Wartość opcji --python-cell-magics była umieszczana w nazwie pliku bez sanityzacji, co pozwalało atakującemu kontrolującemu tę opcję na zapis plików cache w dowolnych lokalizacjach systemu plików. Luka została naprawiona w wersji 26.3.1.

W Deno, od wersji 2.7.0 do 2.7.1, występuje podatność na wstrzyknięcie poleceń w polifilu node:child_process (tryb shell: true), która omija poprawkę dla CVE-2026-27190. Błąd priorytetu w sanitizacji argumentów pozwala na wykonanie dowolnych poleceń systemowych przez atakującego.

Podatność w łatkach GSSAPI OpenSSH dodanych przez różne dystrybucje Linuksa. Błąd polega na użyciu sshpkt_disconnect() zamiast ssh_packet_disconnect(), co nie kończy procesu i pozwala atakującemu wysłać nieoczekiwany typ wiadomości GSSAPI podczas wymiany kluczy, prowadząc do dostępu do niezainicjalizowanych zmiennych i potencjalnie nieokreślonego zachowania.

Graphiti to framework do budowania i zapytywania o temporalne grafy kontekstowe dla agentów AI. W wersjach przed 0.28.2 występowała podatność na wstrzyknięcie Cypher w konstrukcji wspólnych filtrów wyszukiwania dla backendów innych niż Kuzu, co pozwalało atakującym na wstrzykiwanie kontrolowanych przez nich wartości etykiet.

Tinyauth to serwer autoryzacji i uwierzytelniania. W wersjach przed 5.0.3, punkt końcowy autoryzacji OIDC pozwalał użytkownikom z sesją oczekującą na TOTP (hasło zweryfikowane, TOTP jeszcze nieukończone) na uzyskanie kodów autoryzacyjnych, co umożliwiało atakującym zdobycie ważnych tokenów OIDC.

Parse Server to otwarte oprogramowanie backendowe, które może być wdrażane na każdej infrastrukturze obsługującej Node.js. W wersjach przed 9.6.0-alpha.11 i 8.6.37, wbudowany adapter autoryzacji OAuth2 eksportuje instancję singletona, która jest bezpośrednio używana w różnych konfiguracjach dostawców OAuth2, co może prowadzić do nieprawidłowej walidacji tokenów.

W frameworku Backstage, przed wersją 0.27.1, występuje podatność typu Server-Side Request Forgery (SSRF) w @backstage/plugin-auth-backend, gdy włączona jest opcja auth.experimentalClientIdMetadataDocuments.enabled. Podatność ta polega na niewłaściwej walidacji hosta client_id po przekierowaniach HTTP.

ZeptoClaw to osobisty asystent AI, który przed wersją 0.7.6 ufał polom tożsamości dostarczanym przez wywołującego w kanale webhook. W wyniku braku obowiązkowej autoryzacji, atakujący mógł podszyć się pod dozwolonego nadawcę i wybrać dowolne wartości chat_id, co prowadziło do oszustw związanych z wiadomościami oraz potencjalnych nadużyć w zakresie routingu sesji/czatu.

W wersjach przed 2.0.0 platformy NEXULEAN zidentyfikowano podatność, w której klucze API Firebase i Web3Forms były ujawnione. Atakujący mógł wykorzystać te klucze do interakcji z usługami backendowymi bez autoryzacji, co mogło prowadzić do nieautoryzowanego dostępu do zasobów aplikacji i danych użytkowników.

Zidentyfikowano podatność na wstrzykiwanie poleceń w interfejsie wiersza poleceń Telnet urządzenia TP-Link TL-MR6400 v5.3. Problem ten wynika z niewystarczającego oczyszczania danych przetwarzanych podczas określonych operacji CLI.

Biblioteka flatted do parsowania cyklicznego JSON zawiera podatność na przepełnienie stosu. Funkcja parse() używa rekurencyjnej fazy revive() do rozwiązywania cyklicznych referencji, co przy specjalnie spreparowanym ładunku z głęboko zagnieżdżonymi lub samoodnoszącymi się indeksami $ prowadzi do nieograniczonej rekurencji i awarii procesu Node.js.

Dataease to narzędzie do analizy wizualizacji danych typu open source. Przed wersją 2.10.20, kontrolując parametr IniFile, atakujący mógł wymusić na sterowniku JDBC załadowanie pliku konfiguracyjnego kontrolowanego przez siebie, co mogło prowadzić do zdalnego wykonania kodu.

Dataease to narzędzie do analizy wizualizacji danych typu open source. W wersjach przed 2.10.20 parametr table dla /de2api/datasource/previewData jest bezpośrednio łączony z instrukcją SQL bez żadnego filtrowania lub parametryzacji, co umożliwia atakującym wstrzykiwanie złośliwych instrukcji SQL poprzez skonstruowanie złośliwych nazw tabel.

soroban-poseidon dostarcza funkcje skrótu kryptograficznego Poseidon i Poseidon2 dla kontraktów inteligentnych Soroban. Poseidon V1 (PoseidonSponge) akceptuje dane wejściowe o zmiennej długości bez iniektywnego dopełnienia. Gdy liczba wejść jest mniejsza niż rate (inputs.len() < T - 1), nieużywane pozycje są wypełniane zerami, co pozwala na trywialne kolizje skrótów: hash([m1, ..., mk]) równa się hash([m1, ..., mk, 0]). Dotyczy to użycia PoseidonSponge lub poseidon_hash z liczbą wejść mniejszą niż T - 1. Poseidon2 nie jest podatny.

Magic Wormhole umożliwia przesyłanie plików i katalogów między komputerami. W wersjach od 0.21.0 do przed 0.23.0, odbieranie pliku od złośliwej strony mogło prowadzić do nadpisania krytycznych lokalnych plików, takich jak ~/.ssh/authorized_keys i .bashrc.

W Trane Tracer SC, Tracer SC+ i Tracer Concierge występuje luka związana z brakiem autoryzacji, która może umożliwić nieautoryzowanemu atakującemu dostęp do wrażliwych informacji za pośrednictwem niechronionych interfejsów API.

Podatność związana z alokacją pamięci o nadmiernej wartości rozmiaru w systemach Trane Tracer SC, Tracer SC+ oraz Tracer Concierge może umożliwić nieautoryzowanemu atakującemu spowodowanie stanu odmowy usługi.

W wersji 4.3.11 urządzenia GL-iNet GL-AR300M16 odkryto podatność na wstrzykiwanie SQL poprzez funkcję add_group(). Ta podatność umożliwia atakującym wykonywanie dowolnych operacji na bazie danych SQL za pomocą spreparowanego żądania HTTP.

Tina to system zarządzania treścią bez interfejsu graficznego. W wersjach przed 2.1.8, serwer deweloperski TinaCMS CLI ujawnia punkty końcowe mediów, które są podatne na ataki typu path traversal, co pozwala atakującym na odczyt i zapis dowolnych plików w systemie plików poza zamierzonym katalogiem mediów.

Tina to system zarządzania treścią bez interfejsu graficznego. Przed wersją 2.1.7 występowała podatność na traversję ścieżek w obsłudze przesyłania mediów serwera deweloperskiego TinaCMS, która pozwalała na zapis plików w dowolnych lokalizacjach w systemie plików.