Katalog podatności CVE

GNU Emacs w wersjach od 28.1 do 31.1 umożliwia wykonanie dowolnego kodu podczas otwierania pliku, ponieważ niezaufana wartość read-symbol-shorthands wpływa na funkcje intern i unintern. Podatność występuje w domyślnej konfiguracji i nie wymaga specjalnych ustawień użytkownika.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 oraz 11.10.x do 11.10.1 nie egzekwuje limitu rozmiaru treści żądania podczas walidacji CSRF dla żądań wtyczek, co pozwala uwierzytelnionemu użytkownikowi wyczerpać pamięć serwera i spowodować odmowę usługi poprzez wysłanie dużego żądania do punktu końcowego wtyczki.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 oraz 11.10.x do 11.10.1 nie stosuje filtra połączeń wewnętrznych do żądań do punktów końcowych OAuth, co pozwala administratorowi systemu na zmuszenie serwera do wysyłania żądań do wewnętrznych adresów sieciowych i odczytywania odpowiedzi za pośrednictwem skonfigurowanych punktów końcowych tokena OAuth i userinfo.

OpenClaw iOS przed wersją 2026.8.11 zapisuje kompletne adresy URL agenta deep-link, w tym trwałe klucze bearer, w dziennikach systemowych jako publiczne dane diagnostyczne. Atakujący, którzy uzyskają archiwa diagnostyczne, mogą odzyskać niezmienione klucze i odtworzyć je w sfałszowanych deep-linkach, aby wysyłać żądania agenta bez lokalnych monitów potwierdzających.

Vaultwarden do wersji 1.37.3 pomija walidację statusu członkostwa w organizacji w trzech zapytaniach ograniczających dostęp do szyfrów, co pozwala odwołanym i niepotwierdzonym członkom zachować dostęp do odczytu, zapisu, usuwania i załączników do szyfrów organizacji.

e621ng przed wersją 26.09.16 przekazuje niezaufane parametry żądania bezpośrednio do url_for w PaginatorComponent i linkach nawigacyjnych kontrolera, co pozwala atakującym przekierować linki paginacji i nawigacji do kontrolowanych przez atakującego źródeł. Atakujący mogą dostarczyć parametry host, protocol i port, które są interpretowane jako opcje generowania URL, powodując, że linki paginacji wskazują na złośliwe domeny, podczas gdy początkowa strona ładuje się z legalnej witryny.

ClipBucket v5 przed wersją 5.5.3-#182 zawiera odzwierciedloną podatność XSS w funkcji pomocniczej sort_link(), która nie sanityzuje parametrów cat, sort i time. Atakujący mogą tworzyć złośliwe żądania z wstrzykniętym skryptem w tych parametrach, aby wykonać dowolny JavaScript w przeglądarkach ofiar w kontekście aplikacji.

Nieprawidłowa walidacja długości Destination Connection ID w s2n-quic 1.88.0 i wcześniejszych może pozwolić nieuwierzytelnionemu zdalnemu użytkownikowi na spowodowanie odmowy usługi przez zamknięcie punktu końcowego serwera za pomocą pojedynczego spreparowanego datagramu UDP. Dotyczy to tylko serwerów skonfigurowanych do wysyłania pakietów Retry.

lwIP (Lightweight IP) ma podatność na podwójne zwolnienie pamięci, która może spowodować awarię systemu, odmowę usługi, uszkodzenie pamięci lub umożliwić wykonanie kodu na systemie ofiary.

Ten identyfikator CVE został odrzucony lub wycofany przez jego CNA (CVE Numbering Authority).

Autonomy Logic OpenPLC 3 jest podatny na niewłaściwą neutralizację danych wejściowych podczas generowania strony internetowej, gdy interfejs webowy próbuje kierować program na podstawie parametru w ciągu zapytania bez kodowania.

Podatność typu server-side request forgery (SSRF) w przeglądarce notebooków GitHub Enterprise Server. Przeglądarka notebooków walidowała schemat i host adresu URL podanego przez użytkownika, ale nie walidowała portu, co pozwalało na kierowanie żądań do wewnętrznych usług nasłuchujących na innych portach tego samego urządzenia. Treści odpowiedzi nie były zwracane żądającemu, ale czas odpowiedzi działał jak wyrocznia, pozwalając na wydobycie sekretów instancji znak po znaku. Wydobyty sekret mógł być następnie użyty w osobnej interakcji z wewnętrzną usługą w celu uzyskania zdalnego wykonania kodu na urządzeniu. Eksploitacja wymagała dostępu sieciowego do instancji i była nieuwierzytelniona, gdy tryb prywatny był wyłączony, lub wymagała dowolnego uwierzytelnionego użytkownika, gdy tryb prywatny był włączony. Podatność dotyczyła wersji GitHub Enterprise Server od 3.17 do 3.22 i została naprawiona w wersjach 3.22.1, 3.21.6, 3.20.8, 3.19.12, 3.18.15 i 3.17.21. Podatność została zgłoszona przez program GitHub Bug Bounty.

W GitHub Enterprise Server wykryto podatność na trwały cross-site scripting (XSS), która pozwala uwierzytelnionemu atakującemu na wstrzyknięcie dowolnych atrybutów HTML do renderowanego Markdown, ponieważ potok renderowania Markdown przepisywał znaki cudzysłowu w już zdezynfekowanym HTML bez ponownej dezynfekcji wyniku. Spreparowany Markdown mógł wykorzystać same-origin JavaScript gadgets do obejścia Content Security Policy i przejęcia kontroli nad DOM strony, gdy została wyświetlona przez innego użytkownika.

Unleash przed wersją 8.0.3 zawiera pięć podatności w API administracyjnym, które pozwalają uwierzytelnionym użytkownikom na modyfikację przypisań segmentów, ujawnienie konfiguracji wariantów, strategii i informacji o środowisku między projektami oraz modyfikację tagów między projektami, bez odpowiednich uprawnień.

Unleash przed wersją 8.0.3, w punkcie końcowym POST /api/admin/projects/:projectId/features/:featureName/environments/:environment/strategies/set-sort-order, przekazuje kontrolowane przez atakującego identyfikatory strategii do niechronionych funkcji updateStrategiesSortOrder i updateSortOrder bez weryfikacji, czy identyfikatory należą do projektu, funkcji i środowiska autoryzowanych przez URL. W wieloprojektowym wdrożeniu Pro lub Enterprise, uwierzytelniony użytkownik z uprawnieniem UPDATE_FEATURE_STRATEGY w jednym projekcie, znając identyfikatory strategii innego projektu, może zmienić ich kolejność, zmieniając priorytet oceny funkcji, podczas gdy operacja jest przypisywana do kontekstu URL atakującego, a nie do dotkniętego projektu. Wersja OSS z jednym projektem nie ma wymiaru międzyprojektowego, chociaż brak wiązania kontekstu nadal umożliwia nieautoryzowaną zmianę kolejności w obrębie funkcji lub środowisk w domyślnym projekcie. Punkt końcowy zmienia tylko sort_order i nie modyfikuje parametrów strategii, ograniczeń ani segmentów. Problem naprawiono w wersji 8.0.3.

Unleash przed wersją 8.0.3, w funkcji cloneFeatureToggle i punkcie końcowym POST /api/admin/projects/:projectId/features/:featureName/clone, autoryzuje tworzenie w docelowym projekcie, ale nie weryfikuje dostępu do projektu źródłowego. Ponieważ nazwy funkcji są globalnie unikalne, użytkownik z uprawnieniem tworzenia lub klonowania w jednym projekcie, znając lub zgadując nazwę funkcji w innym projekcie, może skopiować tę funkcję do autoryzowanego projektu i przeanalizować jej parametry strategii, ograniczenia, warianty i ładunki wariantów. Problem naprawiono w wersji 8.0.3.

Unleash to platforma zarządzania funkcjami open-source. Przed wersją 8.0.3 szablon e-maila zatwierdzania zmian (requested-cr-approval.html.mustache) renderuje wartości changeRequestTitle, requesterName i requesterEmail bez escapowania HTML, a funkcja sendRequestedCRApprovalEmail przekazuje te wartości do renderowania Mustache. Członek projektu, który może utworzyć prośbę o zmianę, gdy e-maile zatwierdzające są włączone, może wstrzyknąć HTML do powiadomienia zatwierdzającego, umożliwiając sfałszowane linki, treści śledzące lub wizualnie zmienioną treść e-maila. Problem naprawiono w wersji 8.0.3.

Podatność polegająca na obejściu autoryzacji w GitHub Enterprise Server umożliwia każdemu uwierzytelnionemu użytkownikowi instancji odczyt surowego diffa lub patchy pull requestów w prywatnych repozytoriach bez autoryzacji. Tokeny dostępu do surowych diffów i patchy pull requestów były ograniczone do nazwy repozytorium i numeru pull requesta, a nie do globalnie unikalnego identyfikatora repozytorium, więc atakujący, który utworzył repozytorium i pull request o nazwie i numerze odpowiadającym celowi, mógł użyć tokena dla własnego repozytorium, aby pobrać zawartość prywatnego pull requesta. Eksploatacja wymagała znajomości nazwy repozytorium docelowego i prawidłowego numeru pull requesta. Podatność dotyczy wszystkich wersji GitHub Enterprise Server przed 3.22 i została naprawiona w wersjach 3.17.21, 3.18.15, 3.19.12, 3.20.8 i 3.21.6. Zgłoszono ją przez program GitHub Bug Bounty.

openEQUELLA przed wersją 2026.1.0 zawiera podatność na zdalne wykonanie kodu, która pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu gościem na wykonanie dowolnego kodu poprzez wykorzystanie deserializacji Java w punkcie końcowym HTTP /invoker/*. Atakujący może ominąć listę zabronionych nazw klas, zagnieżdżając serializowany ładunek wewnątrz java.security.SignedObject.

wlc to klient wiersza poleceń dla Weblate korzystający z API REST. Przed wersją 2.0.1 automatycznie wykrywana konfiguracja z plików .weblate, .weblate.ini lub weblate.ini może wybrać adres URL API, podczas gdy token API bez zakresu jest dostarczany przez WLC_KEY lub --key bez pasującego WLC_URL lub --url. Gdy wlc działa w niezaufanym repozytorium, przy sprawdzaniu pull request lub w katalogu z niezaufaną konfiguracją przodków, może wysłać token do adresu URL kontrolowanego przez atakującego. Klucze z zakresem URL w [keys] nie są dotknięte. Problem naprawiono w wersji 2.0.1.