Katalog podatności CVE

W Pimcore przed wersjami 2025.4.6 i 2026.1.6, endpoint API Studio do tworzenia definicji klas był chroniony przez uprawnienie 'objects' zamiast 'classes', co pozwalało użytkownikom z poziomem edytora na tworzenie definicji klas bez uprawnień administratora. Dodatkowo brak walidacji formatu UID w warstwie API umożliwiał przesyłanie nieprawidłowych UID, co powodowało wycieki wewnętrznych wyjątków.

Podatność w Pimcore Studio Backend Bundle pozwala uwierzytelnionemu użytkownikowi na ekstrakcję hasha hasła administratora oraz innych danych z bazy danych poprzez atak SQL Injection typu time-based blind. Problem występuje w parametrze klucza kolumny DateFilter, gdzie dane wejściowe są interpolowane bezpośrednio do zapytania SQL.

W Pimcore przed wersjami 2025.4.6 i 2026.1.6 istnieje podatność pozwalająca nieuwierzytelnionemu atakującemu, znającemu nazwę administratora, na przejęcie konta poprzez wysłanie żądania resetowania hasła z kontrolowanym adresem URL. Serwer generuje prawdziwy token odzyskiwania, dołącza go do podanego URL i wysyła ofierze; po kliknięciu linku token trafia do atakującego, który może go użyć do uwierzytelnienia z pełnymi uprawnieniami administratora, omijając uwierzytelnianie dwuskładnikowe.

W FSM Client w wersji 11.11c od docuForm GmbH wykryto podatność umożliwiającą zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez komponent login.php. Mechanizm uwierzytelniania pozwala na enumerację użytkowników na podstawie różnic w odpowiedziach serwera.

W aplikacji docuForm GmbH Client w wersji 11.11c wykryto podatność na lokalne dołączanie plików (LFI) w komponencie dfm-menu_report.php. Zdalny atakujący może wykorzystać tę lukę do odczytu dowolnych plików na serwerze, w tym wrażliwych plików konfiguracyjnych, kodu źródłowego lub plików systemowych, co może prowadzić do wykonania dowolnego kodu.

Podatność w oprogramowaniu docuForm GmbH Client w wersji 11.11c umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez mechanizm przesyłania plików oraz komponent report.php.

Podatność IDOR w oprogramowaniu docuForm GmbH Client v.11.11c umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez komponent ustawień użytkownika oraz modyfikację lub odczyt wrażliwych danych innych kont.

Podatność w Proximus b-box v8c.725A umożliwia uwierzytelnionym atakującym ominięcie normalnych ograniczeń i dowolną modyfikację reguł przekierowania portów.

W interfejsie webowym routera D-link DIR-823G w wersji 1.0.2B05_20181207 wykryto słabość w pliku /etc/boa/boa.conf. Manipulacja tym plikiem może prowadzić do naruszenia zasady najmniejszego uprzywilejowania. Atak może być przeprowadzony zdalnie, ale wymaga wysokiego poziomu złożoności.

Wielokrotne awarie mechanizmów ochronnych w komponencie Data Loss Prevention (DLP) agenta Prisma Access dla systemu Windows umożliwiają lokalnemu użytkownikowi ominięcie kontroli egzekwowania polityki DLP. Agent Prisma Access na macOS nie jest podatny.

Podatność w Palo Alto Networks Cortex XDR Broker VM umożliwia lokalnie uwierzytelnionemu użytkownikowi eskalację uprawnień do poziomu roota.

Podatność w Mockoon przed wersją 9.7.0 pozwala nieuwierzytelnionemu atakującemu na zdalne odczytywanie zmiennych środowiskowych MOCKOON_*, zapisywanie dowolnych zmiennych środowiskowych procesu, modyfikowanie treści odpowiedzi mock API, odczytywanie logów transakcji oraz czyszczenie stanu aplikacji poprzez interfejs API admina, który jest domyślnie włączony i nie wymaga uwierzytelnienia.

Pipecat to framework Python typu open-source do budowania agentów konwersacyjnych czasu rzeczywistego. Przed wersją 1.4.0, deweloperski runner Pipecat rejestruje endpoint WebSocket /ws do testowania telefonii, który akceptuje połączenia bez uwierzytelnienia, odczytuje dostarczony przez atakującego identyfikator callSid z uzgadniania Twilio stream-start i przekazuje go do TwilioFrameSerializer, co pozwala serwerowi na wykonanie uwierzytelnionego żądania REST API Twilio do zakończenia połączenia z użyciem poświadczeń operatora serwera; podobne nieuwierzytelnione punkty kontroli połączeń istnieją dla Telnyx i Plivo.

W systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4, użytkownicy z wyłączonym uprawnieniem pages.access mogli odczytywać pełną treść i metadane dowolnych opublikowanych stron poprzez endpoint /api/site/find, znając ich identyfikatory lub UUID. Podatność umożliwiała nieautoryzowany dostęp do stron, które powinny być chronione.

Podatność w systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4 umożliwia atak XSS przez przechowywanie złośliwego znacznika HTML/XML w polach edytora lub listy. Atakujący może wstrzyknąć kod, który nie jest poprawnie sanityzowany przez funkcje Dom::sanitize() i podobne.

Podatność w systemie zarządzania treścią Kirby umożliwia wstrzyknięcie skryptowego linku jako celu odnośnika w polu edytora writer, co prowadzi do samozwrotnego cross-site scripting (XSS) w panelu administracyjnym. Problem dotyczy wersji przed 4.9.4 i 5.4.4.

Wtyczka UsersWP dla WordPressa do wersji 1.2.65 włącznie zawiera podatność na arbitralne usuwanie plików. Wynika to z niewystarczającej walidacji pól plików w funkcji UsersWP_Validation::validate_fields() oraz braku kanonizacji ścieżki w handlerze AJAX UsersWP_Forms::upload_file_remove(), co pozwala na usunięcie dowolnych plików na serwerze.

Wielokrotne podatności na odmowę usługi w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwiają nieuwierzytelnionemu atakującemu z dostępem sieciowym spowodowanie warunku DoS poprzez wysłanie specjalnie spreparowanego ruchu sieciowego do lub przez interfejs dataplane. Wielokrotne próby wywołania tego warunku powodują przejście zapory w tryb konserwacji.

Podatność na wstrzykiwanie poleceń w płaszczyźnie zarządzania oprogramowania PAN-OS firmy Palo Alto Networks umożliwia uwierzytelnionemu administratorowi wykonanie dowolnych poleceń systemu operacyjnego jako root. Ryzyko jest znacznie zmniejszone, gdy dostęp do CLI jest ograniczony do wąskiej grupy administratorów.

Podatność w funkcji Large Scale VPN (LSVPN) oprogramowania PAN-OS firmy Palo Alto Networks umożliwia atakującemu z dostępem sieciowym ominięcie zabezpieczeń i ustanowienie nieautoryzowanego połączenia VPN typu site-to-site. Luka ta nie dotyczy produktów Panorama, Cloud NGFW ani Prisma Access.