Katalog podatności CVE

Wekan to narzędzie kanban typu open source, które w wersjach od 8.31.0 do 8.33 publikuje wszystkie dane integracyjne dla tablicy bez filtrowania pól, co naraża wrażliwe informacje, takie jak adresy URL webhooków i tokeny uwierzytelniające. Publikacje tablic są dostępne dla wszystkich członków tablicy, w tym użytkowników tylko do odczytu oraz niezalogowanych klientów DDP dla publicznych tablic.

Wekan, narzędzie kanban typu open source, w wersjach 8.32 i 8.33 jest podatne na atak typu Server-Side Request Forgery (SSRF) poprzez ładowanie URL-i załączników. Podczas importu tablicy, URL-e załączników z danych JSON dostarczonych przez użytkownika są pobierane bez walidacji, co umożliwia atakującym dostęp do wewnętrznych usług sieciowych.

Wersja QuickJS z dnia 2025-09-13 zawiera podatność, która pozwala na wykonanie złośliwego skryptu JavaScript, co prowadzi do stanu braku pamięci (OOM) oraz awarii asercji podczas czyszczenia środowiska wykonawczego. Mimo że silnik zgłasza błąd OOM, kończy się to abortem z powodu niepełnego zwolnienia listy obiektów GC.

Lemmy, agregator linków i forum dla fediverse, jest podatny na atak SSRF (Server-Side Request Forgery) przez zależność od frameworka activitypub_federation. Przed wersją 0.19.16, endpoint GET /api/v4/image/{filename} jest podatny na nieuwierzytelniony SSRF poprzez wstrzyknięcie parametrów w parametrze file_type. Atakujący może wstrzyknąć dowolne parametry zapytania do wewnętrznego żądania do pict-rs, w tym parametr proxy, co powoduje, że pict-rs pobiera dowolne adresy URL.

W projekcie Locutus, który przenosi funkcje z innych języków programowania do JavaScriptu, odkryto podatność umożliwiającą zdalne wykonanie kodu (RCE). Problem dotyczy funkcji call_user_func_array i jej wrappera call_user_func, które nieprawidłowo walidują elementy tablicy callback przed przekazaniem ich do eval().

CVE-2026-29089 dotyczy TimescaleDB, bazy danych szeregów czasowych, która jako rozszerzenie PostgreSQL ma problem z ustawieniem search_path. W wersjach od 2.23.0 do 2.25.1, użytkownicy mogą tworzyć funkcje w schematach, które przesłaniają wbudowane funkcje PostgreSQL, co prowadzi do wykonania dowolnego kodu podczas aktualizacji rozszerzenia.

Narzędzie shell w GitHub Copilot CLI w wersjach do 0.0.422 może umożliwić wykonanie dowolnego kodu poprzez odpowiednio skonstruowane wzorce rozszerzenia parametrów bash. Atakujący, który może wpływać na polecenia wykonywane przez agenta, może wykorzystać te wzorce do wykonania ukrytych poleceń.

Kestra to platforma orkiestracji oparta na zdarzeniach. W wersjach od 1.1.10 i wcześniejszych, podgląd pliku wykonawczego Kestry renderuje dostarczony przez użytkownika Markdown (.md) z markdown-it z ustawieniem html:true i wstrzykuje wynikowy HTML za pomocą v-html Vue bez sanitizacji.

Mesa to otwartoźródłowa biblioteka Pythona do modelowania opartego na agentach, symulująca złożone systemy. W wersji 3.5.0 i wcześniejszych, sprawdzanie nieufnego kodu w workflow benchmarks.yml może prowadzić do wykonania kodu w uprzywilejowanym runnerze.

Zarf to menedżer pakietów dla Kubernetes. W wersjach od 0.54.0 do przed 0.73.1 występuje podatność na traversję ścieżek podczas ekstrakcji archiwów, która pozwala na stworzenie symlinków wskazujących poza katalog docelowy, co umożliwia nieautoryzowany odczyt lub zapis plików na systemie przetwarzającym pakiet.

Podatność w REST API platformy eZ Platform / Ciril Platform 2.x firmy Ibexa & Ciril GROUP umożliwia nieuwierzytelnionym atakującym dostęp do wrażliwych danych poprzez enumerację identyfikatorów obiektów. Problem wynika z nieprawidłowej kontroli dostępu.

Wersje Snipe-IT przed 8.3.7 zawierają wrażliwe atrybuty użytkowników związane z uprawnieniami konta, które są niewystarczająco chronione przed masowym przypisaniem. Użytkownik z niskimi uprawnieniami może stworzyć złośliwe żądanie API, aby zmodyfikować zastrzeżone pola innego konta użytkownika, w tym konto Super Admin.

Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. To prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.

W CoreDNS przed wersją 1.14.2 wykryto podatność na atak DoS w pluginie wykrywającym pętle. Atakujący może wysłać specjalnie spreparowane zapytania DNS, które wykorzystują przewidywalny generator liczb pseudolosowych (PRNG) do utworzenia sekretnej nazwy zapytania, co prowadzi do błędu krytycznego i zatrzymania całego procesu serwera.

W CoreDNS przed wersją 1.14.2 wykryto podatność logiczną, która umożliwia ominięcie kontroli dostępu DNS. Wynika to z domyślnej kolejności wykonywania wtyczek, gdzie wtyczki bezpieczeństwa (np. acl) są przetwarzane przed wtyczką rewrite, co prowadzi do błędu typu Time-of-Check Time-of-Use (TOCTOU).

Interfejs programowania aplikacji WebSocket nie posiada ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.

Interfejs programowania aplikacji WebSocket nie posiada ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.

Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. To prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.

Navtor NavBox ujawnia wrażliwe dane konfiguracyjne i operacyjne z powodu braku uwierzytelnienia na końcówkach API HTTP. Nieautoryzowany zdalny atakujący z dostępem do sieci urządzenia może wykonywać żądania HTTP GET na porcie TCP 8080, aby uzyskać wewnętrzne parametry sieciowe, w tym informacje ECDIS i OT, identyfikatory urządzeń oraz logi statusu usług.

W Navtor NavBox występuje podatność na przejście ścieżki absolutnej. Aplikacja udostępnia usługę HTTP, która nieprawidłowo sanitizuje dane wejściowe ścieżki dostarczane przez użytkownika, co pozwala na zdalne ataki bez uwierzytelnienia.