Katalog podatności CVE

GoCD od wersji 18.3.0 do 26.1.0 generuje nieescapowane linki narzędzia śledzenia (Tracking Tool) na podstawie komentarzy commitów, gdy projekt używa łagodnego wyrażenia regularnego z grupą przechwytującą ID, np. JIRA-(.+). Atakujący z prawem zapisu do śledzonego materiału może umieścić znaki specjalne URI lub HTML w pasującym komentarzu commita, co prowadzi do trwałego XSS, gdy ofiara wyświetli stronę Compare Pipeline.

W GoCD w wersjach od 18.7.0 do 26.1.0 API Get Template Config porównuje nazwy metod HTTP z rozróżnianiem wielkości liter przy wyborze filtrów autoryzacji. Użytkownik z niższymi uprawnieniami może wysłać żądanie z niestandardową wielkością liter metody HTTP, aby pobrać szablon pipeline'u po nazwie bez wymaganego uprawnienia view i odczytać jego konfigurację.

MISP ma lukę bezpieczeństwa pozwalającą atakującemu zmienić dane threat intelligence przez przeglądarkę zalogowanego użytkownika bez jego wiedzy. Funkcja nie egzekwowała należycie ochrony przed sfałszowanymi żądaniami, więc atakujący mógł stworzyć złośliwą stronę wysyłającą żądanie do MISP. Wersje podatne: <2.5.47.

MISP ma lukę w obsłudze plików pozwalającą niektórym uwierzytelnionym użytkownikom zmusić serwer do odczytu plików lub dostępu do wewnętrznych usług sieciowych. Podczas importu pliku XML MISP nie weryfikował należycie, czy przesłana zawartość to XML, więc użytkownik z uprawnieniami modyfikacji mógł przesłać plik zawierający lokalną ścieżkę lub adres URL. Wersje podatne: <2.5.47.

W MISP podczas dodawania referencji między obiektami lub atrybutami system sprawdza dostęp użytkownika do całego zdarzenia, ale nie zawsze weryfikuje, czy poszczególne elementy danych są również dozwolone dla tego użytkownika. Użytkownik mogący przeglądać zdarzenie może uzyskać dostęp do atrybutów lub obiektów wewnątrz tego zdarzenia, które powinny być ograniczone do określonej grupy udostępniania lub poziomu dystrybucji.

W MISP podczas tworzenia lub edycji raportu w zdarzeniu system identyfikuje istniejący raport po UUID bez sprawdzenia, czy raport rzeczywiście należy do tego samego zdarzenia. Użytkownik z prawem edycji jednego zdarzenia może przenieść raport z innego zdarzenia do swojego, jeśli zna lub zgadnie UUID raportu, a następnie przeglądać i zmieniać informacje, do których nie powinien mieć dostępu.

Aureus ERP w wersjach przed 1.6.0 zawiera podatność typu stored cross-site scripting w logu zmian pola Chatter, gdzie wpisy old_value i new_value są renderowane bez prawidłowego escapowania. Każdy użytkownik uprawniony do edycji śledzonych pól tekstowych może wstrzyknąć złośliwy markup, który wykona się, gdy inni użytkownicy, w tym administratorzy, wyświetlą panel Chatter rekordu.

Beszel w wersjach przed 0.19.0 zawiera podatność typu insecure direct object reference w handlerach POST i DELETE /api/beszel/user-alerts, która pozwala każdemu uwierzytelnionemu użytkownikowi tworzyć lub usuwać alerty w systemach, do których nie ma dostępu. Atakujący może podać dowolne identyfikatory systemów w treści żądania, aby zarejestrować reguły alertów i otrzymywać powiadomienia ujawniające nazwy i metryki docelowych systemów.

Numer CVE-2026-93884 został odrzucony i nie należy go używać. Zgłoszenie zostało utworzone omyłkowo, a wszystkie odwołania i opisy zostały usunięte, aby zapobiec przypadkowemu wykorzystaniu.

Przepełnienie sterty w libXrender przed wersją 0.9.13 w funkcji RenderQueryPictFormats może być wykorzystane przez złośliwe serwery X do wstrzyknięcia kodu do podłączonych klientów X.

Złośliwy serwer X może wykorzystać przepełnienie bufora w libX11 przed wersją 1.8.14 podczas obsługi XkbGetMap, przepełniając key_sym_map.

Podatność w usłudze Redis honeypota Thinkst Canary pozwala nieuwierzytelnionemu zdalnemu atakującemu przeprowadzić atak odmowy usługi (DoS) przeciwko honeypotowi. Podatność występuje tylko wtedy, gdy usługa Redis jest włączona; Canary nie jest dotknięty, jeśli Redis jest wyłączony. Thinkst rozwiązał problem na wszystkich obsługiwanych platformach, udostępniając nowe pliki aktualizacji (z wyjątkiem Docker, dla którego opublikowano nowy obraz) oraz obejścia dla klientów, którzy nie mogą zaktualizować.

UVdesk core-framework przed wersją 1.1.7 zawiera lukę niewłaściwego zarządzania uprawnieniami w punkcie końcowym editAgent, pozwalającą agentom z uprawnieniami do zarządzania agentami eskalować własną rolę do administratora. Atakujący może przesłać własny identyfikator konta z parametrem roli ustawionym na ROLE_ADMIN, aby uzyskać pełną kontrolę administracyjną nad agentami, zgłoszeniami i konfiguracją poczty.

UVdesk core-framework w wersjach przed 1.1.7 zawiera podatność typu authorization bypass w endpointcie saved reply, która pozwala uwierzytelnionym agentom na dostęp do odpowiedzi zastrzeżonych dla innych grup wsparcia. Atakujący z rolą ROLE_AGENT może wyliczać identyfikatory zapisanych odpowiedzi i czytać treści zarezerwowane dla grup i zespołów, do których nie należy.

UVdesk core-framework w wersjach przed 1.1.7 zawiera podatność typu stored cross-site scripting w parametrze identyfikatora konfiguracji SwiftMailer akcji createMailerConfiguration. Atakujący z rolą ROLE_AGENT może wstrzyknąć złośliwy skrypt do pola identyfikatora, który jest zapisywany i wykonywany, gdy inni członkowie uzyskają dostęp do strony aktualizacji konfiguracji.

Moduł workflow blocklist w MISP przyjmował parametr nazwy pliku blocklisty od użytkownika bez walidacji rozszerzenia. Jedyne zastosowane oczyszczenie to basename() usuwające komponenty ścieżki oraz sprawdzenie pustych lub kropkowych wartości. Administrator witryny mógł podać nazwę pliku z dowolnym rozszerzeniem, który trafiał do katalogu eksportu MISP. Wersje podatne: <2.5.47.

MISP ma lukę bezpieczeństwa pozwalającą użytkownikowi uzyskać większy dostęp niż powinien pozwalać jego klucz API. Klucz API tylko do odczytu powinien umożliwiać jedynie przeglądanie informacji, jednak po zalogowaniu się takim kluczem konkretna funkcja MISP mogła przypadkowo przywrócić normalne uprawnienia konta użytkownika. Wersje podatne: <2.5.47.

Funkcja login() w pliku UsersController.php MISP zawierała niewystarczającą walidację metod HTTP dla kilku krytycznych ścieżek kodu. Oryginalny kod używał podejścia allowlisty, sprawdzając tylko konkretne metody HTTP (POST i PUT) przed egzekwowaniem ochrony przed bruteforce, weryfikacji jednorazowego hasła e-mail (OTP) i logowania nieudanych prób logowania. Ponieważ sprawdzenia nie były wyczerpujące, nieuwierzytelniony atakujący mógł wysyłać żądania logowania innymi metodami HTTP i jednocześnie ominąć wszystkie trzy mechanizmy bezpieczeństwa.

MISP zawiera lukę niebezpiecznego odwołania do obiektu (IDOR) w metodzie processModuleResultsData modelu Event. Podczas przetwarzania wyników modułu kod iteruje po wpisach EventReport dostarczonych w rozwiązanych danych i zapisuje każdy z nich. W przeciwieństwie do sąsiednich pętli przetwarzania atrybutów i obiektów, pętla raportów nie usuwała pola 'id' dostarczonego przez klienta przed wywołaniem save(). Wersje podatne: <2.5.47.

MISP zawiera podatność typu DOM-based cross-site scripting (XSS) w komponencie JavaScript menu kontekstowego. Klasa ContextualMenu wypełnia elementy HTML <option>, przypisując kontrolowane przez użytkownika wartości do właściwości innerHTML. Ponieważ innerHTML parsuje i renderuje znaczniki HTML, każdy niezaufany ciąg znaków podany jako tekst opcji (value.text lub value) jest interpretowany jako aktywna zawartość DOM, a nie zwykły tekst.