Katalog podatności CVE

Home-Gallery.org to samodzielnie hostowana, otwartoźródłowa galeria internetowa do przeglądania osobistych zdjęć i filmów. W wersjach przed 1.21.0 aplikacja nie weryfikowała, czy żądany plik znajduje się w katalogu źródłowym mediów, co mogło prowadzić do pobierania wrażliwych plików systemowych.

OpenSift to narzędzie do nauki AI, które przeszukuje duże zbiory danych za pomocą wyszukiwania semantycznego i generatywnej AI. W wersjach przed 1.6.3-alpha, pipeline do przyjmowania URL-i akceptował zdalne URL-e kontrolowane przez użytkownika z niepełnymi ograniczeniami docelowych adresów.

OpenSift to narzędzie do nauki AI, które przeszukuje duże zbiory danych za pomocą wyszukiwania semantycznego i generatywnej AI. Przed wersją 1.6.3-alpha, wiele pomocników do przechowywania używało wzorców konstrukcji ścieżek, które niejednolicie egzekwowały zawartość katalogu bazowego, co stwarzało ryzyko wstrzyknięcia ścieżek w operacjach odczytu/zapisu/usuwania plików.

Idno to platforma do publikacji społecznościowej. Przed wersją 1.6.4 występował błąd logiczny w przepływie uwierzytelniania API, który umożliwiał łatwe ominięcie ochrony CSRF na końcówce usługi URL unfurl przez nieautoryzowanego atakującego.

Idno to platforma do publikacji społecznościowych. Przed wersją 1.6.4 istniała podatność na zdalne wykonanie kodu poprzez połączone zapisy plików importu oraz przejście przez ścieżkę szablonu. Problem ten został naprawiony w wersji 1.6.4.

W projekcie Talishar, stworzonym przez fanów gry Flesh and Blood, zidentyfikowano podatność typu Path Traversal w parametrze gameName przed commit 6be3871. Pomimo że główne punkty wejścia aplikacji implementują walidację danych wejściowych, komponent ParseGamestate.php może być bezpośrednio dostępny jako samodzielny skrypt, co umożliwia przetwarzanie sekwencji przechodzenia przez katalogi.

Chartbrew to aplikacja webowa typu open-source, która umożliwia łączenie się bezpośrednio z bazami danych i API w celu tworzenia wykresów. W wersjach przed 4.8.4, punkt końcowy filtru wykresu POST /project/:project_id/chart/:chart_id/filter nie miał zabezpieczeń verifyToken i checkPermissions, co pozwalało nieautoryzowanym użytkownikom na dostęp do danych wykresów z dowolnego zespołu/projektu.

Chartbrew to aplikacja webowa typu open-source, która może łączyć się bezpośrednio z bazami danych i API, wykorzystując dane do tworzenia wykresów. Przed wersją 4.8.1 występowała podatność na zdalne wykonanie kodu przez podatne API, która została załatana w wersji 4.8.1.

Chartbrew to aplikacja webowa typu open-source, która może łączyć się bezpośrednio z bazami danych i API, wykorzystując dane do tworzenia wykresów. Przed wersją 4.8.1 występowała podatność na zdalne wykonanie kodu poprzez zapytanie do zbioru danych MongoDB. Problem został naprawiony w wersji 4.8.1.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach przed 24.0 usługa memcached była publikowana na porcie 11211 bez uwierzytelnienia, co pozwalało atakującym na dostęp do danych sesji użytkowników.

TinyWeb to serwer WWW (HTTP, HTTPS) napisany w Delphi dla Win32. W wersjach przed 2.04, serwer akceptował wartości nagłówków żądań, które następnie były mapowane na zmienne środowiskowe CGI, nie odrzucając surowo niebezpiecznych znaków kontrolnych, co mogło prowadzić do niebezpiecznych danych w kontekście wykonania CGI.

Chamilo to system zarządzania nauczaniem, który przed wersją 1.11.34 był podatny na zdalne wykonanie kodu przez uwierzytelnionego użytkownika. Problem wynikał z niewłaściwej walidacji przesyłanych plików, polegającej jedynie na weryfikacji typu MIME, co umożliwiało przesyłanie plików z kodem wykonywalnym.

AVideo to otwartoźródłowa platforma wideo. Przed wersją 24.0 zidentyfikowano podatność na zdalne wykonanie kodu (RCE) związaną z funkcjonalnością przesyłania/importu wtyczek, która pozwalała uwierzytelnionemu administratorowi na przesyłanie specjalnie przygotowanego archiwum ZIP zawierającego pliki wykonywalne po stronie serwera.

Chamilo to system zarządzania nauczaniem. Przed wersją 1.11.34 występowała podatność na Cross-Site Request Forgery (CSRF), która pozwalała atakującemu na usunięcie projektów w kursie bez zgody ofiary.

Chamilo to system zarządzania nauczaniem. W wersji 1.11.32 występuje podatność typu XSS, która pozwala atakującemu na wstrzyknięcie dowolnego kodu JavaScript do funkcji sieci społecznościowej i wiadomości wewnętrznych platformy. Po wyświetleniu przez uwierzytelnionego użytkownika, payload wykonuje się w jego przeglądarce w kontekście LMS.

Zidentyfikowano podatność w urządzeniu Wavlink WL-NU516U1 V240425, która dotyczy funkcji sub_401A0C w pliku /cgi-bin/login.cgi. Manipulacja argumentem ipaddr prowadzi do przepełnienia bufora na stosie, co umożliwia zdalne przeprowadzenie ataku.

W podatności CVE-2026-3612 zidentyfikowano problem w urządzeniu Wavlink WL-NU516U1 V240425, który dotyczy funkcji sub_405AF4 w pliku /cgi-bin/adm.cgi komponentu OTA Online Upgrade. Manipulacja argumentem firmware_url prowadzi do możliwości wstrzyknięcia poleceń.

Podatność CVE-2026-28727 dotyczy lokalnego podwyższania uprawnień z powodu niebezpiecznych uprawnień gniazd Unix. Dotknięte są produkty Acronis Cyber Protect 17 (macOS) przed wersją 41186, Acronis Cyber Protect Cloud Agent (macOS) przed wersją 41124 oraz Acronis True Image (macOS) przed wersją 42902.

Podatność CVE-2026-28722 dotyczy lokalnego podwyższenia uprawnień spowodowanego niewłaściwym zarządzaniem miękkimi linkami. Dotyczy to produktów Acronis Cyber Protect 17 (Windows) przed wersją 41186.

Podatność CVE-2026-28721 dotyczy lokalnego podwyższania uprawnień z powodu niewłaściwego zarządzania miękkimi linkami. Dotyczy to produktów Acronis Cyber Protect 17 (Windows) przed wersją 41186.