Katalog podatności CVE

Podatność w goshs, prostym serwerze HTTP napisanym w Go, polega na braku sanitizacji ścieżek w operacji przesyłania plików metodą PUT przed wersją 2.0.0-beta.3. Problem ten został naprawiony w wersji 2.0.0-beta.3.

pyLoad to darmowy menedżer pobierania napisany w Pythonie, który w wersji 0.5.0b3.dev96 i wcześniejszych ma podatność typu server-side request forgery (SSRF). Mimo wprowadzenia walidacji IP w metodzie BaseDownloader.download(), mechanizm automatycznego śledzenia przekierowań nie weryfikuje celów przekierowań względem filtra SSRF.

EcclesiaCRM to oprogramowanie CRM do zarządzania kościołem. Przed wersją 8.0.0 występowała podatność na wstrzyknięcie SQL w pliku v2/templates/query/queryview.php poprzez parametry custom i value. Ta podatność została naprawiona w wersji 8.0.0.

Workbench to zestaw narzędzi dla administratorów i deweloperów do interakcji z organizacjami Salesforce.com za pomocą API Force.com. Przed wersją 65.0.0, Workbench zawierał podatność na zdalne wykonanie kodu w procesie konwersji strefy czasowej, który przetwarzał wartości ciasteczek kontrolowane przez atakującego w niebezpieczny sposób.

W procesorach mobilnych Samsung, procesorach noszonych oraz modemach Exynos 980, 990, 850, 1080, 2100, 1280, 2200, 1330, 1380, 1480, 2400, 1580, 2500, 9110, W920, W930, W1000 oraz modemach 5123, 5300 i 5400 odkryto problem związany z przepełnieniem bufora na stosie podczas analizy wiadomości SMS RP-DATA.

W procesorach mobilnych Samsung, w tym Exynos 980, 990, 850, 1080 oraz modemach, odkryto problem związany z nieprawidłowym przetwarzaniem pakietów LTE MAC zawierających wiele elementów sterujących (CE). To prowadzi do awarii bazy pasmowej.

Chyrp Lite to ultralekki silnik blogowy. Przed wersją 2026.01 istniała podatność na traversję ścieżki w konsoli administracyjnej, która pozwalała administratorowi lub użytkownikowi z uprawnieniami do zmiany ustawień na zmianę ścieżki przesyłania plików na dowolny folder.

Kedro to narzędzie do produkcyjnej analizy danych. W wersjach przed 1.3.0, Kedro pozwalał na ustawienie ścieżki do pliku konfiguracyjnego logowania za pomocą zmiennej środowiskowej KEDRO_LOGGING_CONFIG i ładował go bez walidacji, co umożliwiało wykonanie dowolnych poleceń systemowych podczas uruchamiania aplikacji.

D-Tale, będący połączeniem backendu Flask i frontendu React do przeglądania i analizy struktur danych Pandas, przed wersją 3.22.0 był podatny na zdalne wykonanie kodu. Użytkownicy hostujący D-Tale publicznie z wykorzystaniem warstwy przechowywania redis lub shelf mogli być narażeni na ataki umożliwiające uruchomienie złośliwego kodu na serwerze.

Podatność w text-generation-webui przed wersją 4.1.1 pozwala użytkownikom na zapisywanie ustawień rozszerzeń w formacie 'py' w katalogu głównym aplikacji. To umożliwia nadpisywanie plików Pythona, co może prowadzić do wykonania złośliwego kodu.

Brave CMS to otwartoźródłowy system zarządzania treścią. W wersjach przed 2.0.6 występuje podatność na nieograniczone przesyłanie plików w punkcie końcowym CKEditor, co pozwala atakującym na przesyłanie dowolnych plików, w tym skryptów wykonywalnych.

fast-jwt to szybka implementacja JSON Web Token (JWT). W wersjach od 0.0.1 do przed 6.2.0, niewłaściwe skonfigurowanie metody cacheKeyBuilder może prowadzić do kolizji w pamięci podręcznej, co skutkuje błędną identyfikacją tokenów podczas weryfikacji.

Podatność w LiteLLM przed wersją 1.83.0, gdy włączone jest uwierzytelnianie JWT (enable_jwt_auth: true), polega na użyciu pierwszych 20 znaków tokena jako klucza cache dla danych użytkownika OIDC. Ponieważ nagłówki JWT generowane przez ten sam algorytm podpisu mają identyczne pierwsze 20 znaków, nieuwierzytelniony atakujący może stworzyć token pasujący do cache'u i przejąć tożsamość oraz uprawnienia legalnego użytkownika.

CVE-2026-34989 dotyczy aplikacji CI4MS, która nieprawidłowo sanitizuje dane wejściowe kontrolowane przez użytkownika podczas aktualizacji nazwy profilu. Atakujący może wstrzyknąć złośliwy kod JavaScript, który jest następnie przechowywany na serwerze i wyświetlany w różnych widokach aplikacji bez odpowiedniego kodowania wyjścia, co prowadzi do ataku typu stored XSS.

Aperi'Solve to otwartoźródłowa platforma do steganalizy, która w wersjach od 3.1.3 do 3.2.0 umożliwia przesyłanie plików JPEG z opcjonalnym hasłem. Hasło to jest przekazywane bez żadnej walidacji do polecenia expect, co pozwala na zdalne wykonanie kodu na poziomie roota przez nieautoryzowanego atakującego.

Dgraph to otwartoźródłowa rozproszona baza danych GraphQL. W wersjach przed 25.3.1 brakowało autoryzacji dla mutacji restoreTenant, co umożliwiało nieautoryzowanym atakującym jej wykorzystanie do nadpisania bazy danych oraz uzyskania dostępu do plików serwera.

Bruno to otwarte źródło IDE do eksploracji i testowania API. Przed wersją 3.2.1, Bruno było narażone na atak łańcucha dostaw związany z skompromitowanymi wersjami pakietu axios npm, co wprowadziło ukrytą zależność wdrażającą wieloplatformowego trojana zdalnego dostępu (RAT).

W wersjach 6.1.0 i wcześniejszych, regex publicKeyPemMatcher w fast-jwt/src/crypto.js używa kotwicy ^, która jest ignorowana przez wszelkie wiodące białe znaki w ciągu klucza. To umożliwia ponowne wykorzystanie ataku na algorytm JWT, który został załatany w CVE-2023-48223.

Lupa integruje środowiska uruchomieniowe Lua lub LuaJIT2 z CPythonem. W wersji 2.6 i wcześniejszych filtr atrybutów nie jest konsekwentnie stosowany przy dostępie do atrybutów przez wbudowane funkcje, takie jak getattr i setattr. Pozwala to atakującemu ominąć zamierzone ograniczenia i ostatecznie uzyskać zdalne wykonanie kodu.

SandboxJS to biblioteka do sandboxingu JavaScript. W wersjach przed 0.8.36, ochrona przed bezpośrednim przypisaniem do obiektów globalnych mogła być obejściem przez wywołanie konstruktorów, co pozwalało na zapisanie dowolnych właściwości w obiektach globalnych hosta.