Katalog podatności CVE

W frameworku Frappe przed wersjami 16.23.0 i 15.112.0 wykryto podatność TarSlip RCE podczas importu pakietów. Brak wystarczającego sprawdzania członków archiwum tar przed ekstrakcją umożliwiał zdalne wykonanie kodu.

Wtyczka Plotly.js Graphing dla Drupala zawiera podatność na wstrzykiwanie obiektów poprzez nieprawidłowo kontrolowaną modyfikację dynamicznie określanych atrybutów obiektów. Problem dotyczy wersji od 0.0.0 do 3.0.2.

Podatność w module Flag attendance field dla Drupala umożliwia niekontrolowaną modyfikację dynamicznie określonych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wersji od 0.0.0 do 1.2.

Podatność w frameworku Phalcon przed wersją 5.14.1 polega na tym, że funkcja Phalcon\Encryption\Crypt::decrypt porównuje dostarczony przez atakującego znacznik HMAC z nowo wyliczonym HMAC za pomocą porównania bajt po bajcie, które kończy się na pierwszej różnicy. Ta obserwowalna różnica czasowa umożliwia atakującemu odzyskanie prawidłowego znacznika bajt po bajcie i dołączenie go do wybranego IV i ciphertextu, przez co decrypt() akceptuje zmodyfikowaną treść jako autentyczną.

ModSecurity przed wersją 3.0.16 zawiera podatność w parserze multipart/form-data, która powoduje ciche usuwanie znaków nowej linii z wartości pól formularza niebędących plikami. Dzieje się tak, ponieważ kod nadpisuje zarezerwowane bajty zamiast dołączać bieżący bufor, co prowadzi do różnic w parsowaniu między ModSecurity a aplikacjami backendowymi.

W systemie Frappe przed wersją 16.19.0 stwierdzono podatność na pominięcie autoryzacji w punkcie końcowym update_page w obszarze Workspace. Publiczne obszary robocze nie przechodziły wymaganej kontroli edycji przez menedżera obszaru roboczego.

Podatność SSRF w TypeBot przed wersją 3.17.2 pozwala na ominięcie walidatora adresów URL poprzez użycie adresu IPv6 :: (nieokreślony). Osoba z rolą edytora lub twórcy przestrzeni roboczej może skonfigurować blok żądania HTTP lub skrypt fetch po stronie serwera, co umożliwia połączenie z lokalnymi usługami HTTP.

Podatność w Spinnaker umożliwia zdalne wykonanie kodu poprzez niebezpieczne przetwarzanie YAML podczas korzystania z CloudFormation lub CloudFoundry. Użycie niebezpiecznego konstruktora pozwala na ładowanie dowolnych klas Java, co prowadzi do zdalnego wykonania kodu.

W frameworku Frappe przed wersją 16.18.3 wykryto podatność na path traversal i lokalne dołączanie plików poprzez bezpieczny dostęp do lokalnych zasobów w generatorze PDF Chrome.

Wtyczka Location Selector dla Drupala zawiera podatność na wstrzykiwanie SQL (SQL Injection) spowodowaną niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wszystkich wersji od 0.0.0 do 1.3.0.

Podatność w module Drupal Tealium iQ Tag Management umożliwia niekontrolowaną modyfikację dynamicznie określonych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wersji od 0.0.0 do 2.4.0.

Podatność w sterowniku GPU umożliwia nieuprzywilejowanemu użytkownikowi wykonanie sekwencji nieprawidłowych wywołań systemowych GPU, prowadzących do użycia po zwolnieniu (use-after-free). Ułatwia to nieautoryzowany dostęp do pamięci z poziomu kodu shadera.

EverOS przed wersją 1.0.1 zawiera podatność na path traversal w punkcie końcowym POST /api/v1/memory/add. Pole sender_id nie było walidowane jako identyfikator bezpieczny dla ścieżki, co pozwala nieuwierzytelnionemu atakującemu na zapis lub nadpisanie plików .md poza docelowym katalogiem pamięci.

Misskey przed wersją 2026.6.0 zawiera podatność w uwierzytelnianiu TOTP, gdzie niewystarczająca walidacja użytych tokenów pozwala na ponowne wykorzystanie jednorazowego kodu w jego oknie czasowym. Atakujący, który uzyska zarówno dane logowania, jak i kod TOTP, może go wielokrotnie użyć do nieautoryzowanych działań, co może prowadzić do przejęcia konta.

RabbitMQ przed wersją 4.2.6 nie egzekwuje limitu rozmiaru ramek strumieniowych podczas składania ramek w trakcie uwierzytelniania i przed negocjacją Tune. Pozwala to nieuwierzytelnionemu zdalnemu klientowi deklarować nadmierne rozmiary ramek i konsumować pamięć brokera w komponencie rabbit_stream_core.

Podatność w RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11 i 4.2.6 pozwala nieuwierzytelnionym atakującym na odczytanie sekretu klienta OAuth 2 poprzez przestarzały endpoint GET /api/auth. Problem występuje, gdy włączona jest wtyczka zarządzania i skonfigurowane management.oauth_client_secret.

RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11 i 4.2.6 umożliwia tworzenie zewnętrznych powiązań do kolejek amq.rabbitmq.reply-to. Luka wynika z braku sprawdzania ulotnych kolejek direct-reply-to podczas usuwania powiązań w systemie Khepri, co pozostawia trwałe wpisy tras.

RabbitMQ przed wersjami 3.13.14, 4.0.19, 4.1.10 i 4.2.5 zawiera podatność w interfejsie HTTP API rabbitmq_management, która pozwala na akceptowanie zbyt dużych poprawnych ciał JSON na ścieżkach with_decode i direct_request. Problem wynika z nieprawidłowego sprawdzania rozmiaru w funkcji read_complete_body, która uwzględnia rozmiar przed ostatnim fragmentem, ale nie końcowy łączny rozmiar.

Podatność w OpenReplay umożliwia uwierzytelnionemu użytkownikowi o niskich uprawnieniach odczytanie pierwszych 15 sekund nagrania sesji innego najemcy. Problem wynika z braku weryfikacji przynależności sesji do projektu podczas generowania tymczasowych adresów URL do pobierania danych.

W OpenReplay w wersji 1.27.0 i wcześniejszych trzy funkcje mutacji (notes.delete, dashboards.update_widget, dashboards.remove_widget) nie sprawdzały własności zasobu, co pozwalało uwierzytelnionym użytkownikom na usuwanie notatek sesji innych użytkowników oraz modyfikowanie widżetów na ich prywatnych pulpitach.