Katalog podatności CVE

Podatność w komponencie Neo4J frameworka Apache Camel umożliwia wstrzyknięcie kodu Cypher poprzez nazwy właściwości w mapie CamelNeo4jMatchProperties. Mimo że wartości właściwości są wiązane jako parametry, nazwy kluczy JSON są konkatenowane bezpośrednio do zapytania, co pozwala atakującemu na modyfikację struktury zapytania i wykonanie dowolnych operacji na bazie Neo4j.

Podatność deserializacji niezaufanych danych w komponencie camel-pqc Apache Camel umożliwia zdalne wykonanie kodu poprzez spreparowany obiekt Java. Luka wynika z braku filtrowania podczas odczytu metadanych kluczy post-kwantowych z backendów HashiCorp Vault, AWS Secrets Manager oraz lokalnego pliku.

W komponencie Lucene w Apache Camel wykryto podatność polegającą na niewłaściwej walidacji danych wejściowych i obejściu autoryzacji poprzez kontrolowany przez użytkownika klucz. Atakujący może ustawić nagłówek QUERY w żądaniu HTTP, co pozwala na wykonanie dowolnego zapytania Lucene, w tym odczytanie całego indeksu lub wykonanie kosztownych zapytań regex, bez wymaganych uprawnień.

Podatność w komponencie camel-nats Apache Camel umożliwia wstrzykiwanie nagłówków kontrolnych Camel przez wiadomości NATS. Brak filtrowania nagłówków powoduje, że atakujący może modyfikować zachowanie tras Camel, np. przekierowywać żądania HTTP lub zmieniać nazwy plików.

W SUSE Rancher AI Agent w wersji 1.0 przed 1.0.2, gdy ustawiono poziom logowania DEBUG, może dojść do wycieku kluczy API lub treści odpowiedzi LLM zawierających potencjalnie wrażliwe dane do plików dziennika. Lokalny atakujący może wykorzystać te dane lub poświadczenia.

Podatność w Apache Camel (komponenty JMS) umożliwia deserializację niezaufanych danych przez obejście poprawki CVE-2026-40860. Atakujący może opublikować wiadomość JMS ObjectMessage z obiektem DefaultExchangeHolder, który jest akceptowany przez listę dozwolonych klas, a następnie zapisać dowolne dane do wymiany Camel, manipulując routingiem, nagłówkami i właściwościami.

Podatność deserializacji niezaufanych danych w komponencie camel-hazelcast Apache Camel. Domyślna konfiguracja Hazelcast nie stosuje filtra deserializacji, co pozwala atakującemu na zdalne wykonanie kodu poprzez wysłanie spreparowanego obiektu Java do klastra Hazelcast. Problem dotyczy wersji 4.0.0 przed 4.14.8, 4.15.0 przed 4.18.3 oraz 4.19.0 przed 4.21.0.

Podatność deserializacji niezaufanych danych w Apache Camel umożliwia atakującemu wywołanie zapytań DNS poprzez dostarczenie spreparowanego ładunku Java. Problem dotyczy domyślnego wzorca filtru ObjectInputFilter, który przepuszcza klasy java.net.URL i java.net.InetAddress, co pozwala na wyciek danych przez kanał boczny DNS.

Podatność w Apache Camel umożliwia zdalne wykonanie kodu poprzez deserializację niezaufanych danych w komponencie camel-vertx-http. Atakujący może wykorzystać man-in-the-middle lub skompromitowany backend, aby dostarczyć spreparowany obiekt Java, co prowadzi do wykonania kodu na hoście Camel.

W Apache IoTDB wykryto podatność polegającą na niekontrolowanym zużyciu zasobów. Niektóre interfejsy nie nakładają rozsądnych ograniczeń na zakres czasu i interwał agregacji zapytań, co pozwala atakującemu na skonstruowanie żądania z ekstremalnymi parametrami, prowadząc do wyczerpania pamięci Java i awarii DataNode.

System zarządzania Prog Management System firmy PROG MIS zawiera podatność na wstrzykiwanie SQL, która umożliwia nieuwierzytelnionym zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

Wykryto podatność w narzędziu create-react-app do wersji 5.0.1 na systemie macOS. Funkcja startBrowserProcess w pliku openBrowser.js komponentu react-dev-utils umożliwia wstrzyknięcie poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wtyczka Admin and Site Enhancements (ASE) dla WordPressa przed wersją 8.8.4 nie przeprowadza uwierzytelniania, autoryzacji ani sprawdzania nonce w procedurze przywracania roli, co pozwala nieuwierzytelnionym atakującym na przywrócenie wcześniej zdegradowanego konta administratora do roli administratora. Jest to niekompletna poprawka CVE-2024-43333 / CVE-2025-24648, która zamknęła problem tylko dla jednej ze ścieżek degradacji dostępnych w API ról WordPressa.

Wtyczka FileOrganizer dla WordPressa przed wersją 1.2.0 nie waliduje typu plików w kilku operacjach zarządzania plikami, co pozwala uwierzytelnionym użytkownikom z dostępem do menedżera plików (który płatny dodatek może rozszerzyć na role podadministratorów) na przesyłanie dowolnych plików PHP i zdalne wykonanie kodu. Jest to niekompletna poprawka CVE-2024-7985, która dodała walidację typu plików tylko do operacji przesyłania.

Wtyczka Simple Membership dla WordPress przed wersją 4.7.5 nie weryfikuje autentyczności żądań webhook Stripe, gdy nie skonfigurowano tajnego klucza podpisu, ani nie zabezpiecza wartości pobranych z tych żądań przed wyświetleniem w powiadomieniu administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów web, które wykonują się w kontekście zalogowanego administratora.

Wtyczka Ultimate Member dla WordPressa przed wersją 2.12.0 nieprawidłowo oczyszcza i koduje wartości niestandardowych pól profilu typu textarea przed wyświetleniem ich na profilach użytkowników. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie Subskrybenta i wyższym przechowywanie kodu JavaScript, który wykonuje się podczas przeglądania profilu przez dowolnego użytkownika, w tym administratora.

Wtyczka AllCoach dla WordPress przed wersją 1.0.2 nie weryfikuje, czy adres e-mail przesłany do publicznego punktu rejestracji konta nie jest już powiązany z istniejącym użytkownikiem przed nadpisaniem jego hasła. Umożliwia to nieuwierzytelnionym atakującym zresetowanie hasła dowolnego konta, w tym administratorów, i przejęcie strony.

Wtyczka Notifications for Forms & WordPress Actions przed wersją 2.6 nie waliduje wartości dostarczonej przez użytkownika przed użyciem jej do budowy ścieżki dołączania plików po stronie serwera. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym dołączanie i wykonywanie dowolnych lokalnych plików PHP na serwerze.

W systemie SourceCodester Online Examination & Learning Management System 1.0 wykryto podatność w pliku /ajax_enroll.php komponentu Enrollment Management. Manipulacja argumentami student_id, schedule_id lub action prowadzi do nieprawidłowej autoryzacji, co umożliwia nieautoryzowany dostęp.

W systemie SourceCodester Class and Exam Timetabling System 1.0/1.php znaleziono podatność w pliku /edit_course1.php. Nieznana funkcja tego pliku pozwala na manipulację argumentem ID, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.