Katalog podatności CVE

Podatność ujawnienia informacji w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym do interfejsu zarządzania siecią uzyskanie tokenów sesji internetowej. Wymaga to, aby uprawniony użytkownik najpierw kliknął złośliwy link dostarczony przez atakującego.

Podatność w przetwarzaniu pakietów IPv6 w warstwie danych systemu PAN-OS umożliwia nieuwierzytelnionemu atakującemu ominięcie reguł zapory sieciowej, co pozwala na dotarcie zablokowanego ruchu do chronionych usług. Luka dotyczy wyłącznie zapór sieciowych Palo Alto Networks, a nie Cloud NGFW ani Panoramy.

Podatność w oprogramowaniu Kyocera Command Center RX umożliwia nieautoryzowany eksport całej książki adresowej oraz ominięcie szyfrowania danych, co prowadzi do ujawnienia haseł i innych poufnych informacji. Luka dotyczy wielu modeli drukarek Kyocera TASKalfa.

Podatność w LibreBooking pozwala administratorowi na zapisanie dowolnego pliku poza katalogiem szablonów poprzez manipulację nazwą szablonu w edytorze wiadomości e-mail, co umożliwia zdalne wykonanie kodu. Problem został naprawiony w wersji 5.1.0.

Coolify przed wersją 4.0.0-beta.469 zawiera podatność na wstrzykiwanie poleceń w funkcji generate_healthcheck_commands(). Parametry health_check_host, health_check_method i health_check_path są bezpośrednio interpolowane do poleceń powłoki bez odpowiedniej sanityzacji, co umożliwia uwierzytelnionym użytkownikom wykonanie dowolnych poleceń w kontenerach wdrożeniowych.

Podatność w Hoppscotch przed wersją 2026.6.0 pozwala administratorowi na zdalne wykonanie dowolnych poleceń jako root w kontenerze backendu. Atak polega na manipulacji parametrem MAILER_SMTP_URL w mutacji GraphQL updateInfraConfigs, który jest następnie parsowany przez nodemailer do opcji transportu sendmail.

W Hoppscotch przed wersją 2026.6.0, podczas tworzenia serwera mock w pliku mock-server.service.ts nie jest zapisywane pole wejściowe isPublic, a schema.prisma domyślnie ustawia isPublic na true. Powoduje to, że serwery mock powiązane z prywatnymi kolekcjami są publicznie dostępne bez uwierzytelniania, co może ujawnić wrażliwe dane API.

Podatność w Open WebUI przed wersją 0.10.0 pozwala na obejście normalizacji ścieżki proxy poprzez dziewięciokrotne zakodowanie sekwencji '../' w formacie percent-encoded. Funkcja _sanitize_proxy_path dekoduje ścieżki tylko osiem razy, co umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.

W urządzeniu Allwinner H616 TV Box TV98 w wersji produkcyjnej włączono i wystawiono na sieć ADB. Atakujący może poprosić o autoryzację ADB i uzyskać uprawnienia root, jeśli ofiara zezwoli na dostęp.

W platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, w pewnych niestandardowych konfiguracjach, przetwarzanie przesłanych plików PDF może zostać wykorzystane do zdalnego wykonania kodu (RCE) na serwerze. Podatność została załatana w wymienionych wersjach.

Podatność w Open WebUI przed wersją 0.10.0 umożliwia atakującemu wstrzyknięcie zapytania do konstrukcji URL terminala WebSocket, co pozwala na podszycie się pod innego użytkownika. Dodatkowo, nagłówek X-User-Id w proxy HTTP nie był odpowiednio weryfikowany, co ułatwiało manipulację tożsamością.

W Open WebUI przed wersją 0.10.0, przy skonfigurowanym Redis, uwierzytelnianie połączeń czasu rzeczywistego (Socket.IO, WebSocket) używało funkcji decode_token bez sprawdzania unieważnienia tokena w Redis. Umożliwiało to uwierzytelnianie przy użyciu unieważnionych JWT.

Podatność w Open WebUI przed wersją 0.10.0 pozwala uwierzytelnionym użytkownikom na wykonanie kodu Python lub narzędzi w sesji innego użytkownika. Atakujący może wykorzystać zdarzenia Socket.IO, aby przejąć kontrolę nad sesją ofiary po poznaniu jej identyfikatora gniazda.

Open WebUI przed wersją 0.10.0 uruchamia kod Python po stronie klienta w Pyodide w web workerze tego samego pochodzenia, co pozwala na przechowywanie złośliwych ładunków czatu wykorzystujących pyodide.http.pyfetch lub API fetch i XMLHttpRequest z modułu js. Gdy ofiara kliknie „Uruchom”, wysyłane są uwierzytelnione żądania do tego samego pochodzenia, które mogą dotrzeć do punktów końcowych dostępnych tylko dla administratora i wykonać kod po stronie serwera przez skonfigurowane narzędzia.

W gpsd do wersji 3.27.5 (załatane w commicie 4c06658) wykryto podatność na wstrzykiwanie poleceń w narzędziu gpsprof. Atakujący kontrolujący wartość pola subtype urządzenia GPS może osadzić ładunek w backtickach w tytule wykresu gnuplot, co prowadzi do wykonania dowolnych poleceń powłoki podczas renderowania wykresu przez ofiarę.

Podatność w usłudze RTSP urządzenia Tenda CP3 V3.0 (firmware V31.1.9.91) powoduje, że po otrzymaniu żądania z nadmiernie długim polem (URL lub nagłówek) urządzenie natychmiast zrywa połączenie TCP pakietem RST, zamiast zwrócić zgodną z RFC 2326 odpowiedź błędu. Problem dotyczy wielu typów żądań RTSP.

Podatność przepełnienia bufora na stosie w usłudze RTSP kamery Tenda CP3 V3.0 (firmware V31.1.9.991) umożliwia nieuwierzytelnionemu zdalnemu atakującemu spowodowanie odmowy usługi poprzez spreparowane żądanie TEARDOWN.

Podatność przepełnienia bufora na stosie w usłudze RTSP kamery Tenda CP3 V3.0 (firmware V31.1.9.91) umożliwia nieuwierzytelnionemu zdalnemu atakującemu spowodowanie odmowy usługi poprzez spreparowane żądanie PLAY.

W usłudze RTSP kamery Tenda CP3 V3.0 (firmware V31.1.9.91) występuje podatność na przepełnienie bufora stosu. Nieuwierzytelniony atakujący zdalnie może spowodować awarię usługi, wysyłając spreparowane drugie żądanie SETUP, co prowadzi do odmowy usługi (DoS).

Podatność przepełnienia bufora stosu w usłudze RTSP kamery Tenda CP3 V3.0 (firmware V31.1.9.91) pozwala nieuwierzytelnionemu atakującemu na zdalne spowodowanie odmowy usługi poprzez wysłanie spreparowanego żądania SETUP. Drugi etap analizatora URL w usłudze RTSP nie sprawdza długości pola URL, co umożliwia atakującemu ominięcie walidacji pierwszego etapu i wywołanie przepełnienia bufora stosu, prowadzącego do natychmiastowego awarii procesu RTSP i uniemożliwienia dostępu do urządzenia wszystkim klientom w sieci lokalnej.