Katalog podatności CVE

Flowise przed wersją 3.0.10 (dotknięte wersje 3.0.7 i wcześniejsze) nie unieważnia istniejących sesji i tokenów sesji po zmianie hasła przez użytkownika. Atakujący, który posiada aktywną sesję, na przykład poprzez skradziony token sesji lub pozostawione zalogowane urządzenie, pozostaje uwierzytelniony jako uprawniony użytkownik nawet po zmianie jego poświadczeń.

Flowise przed wersją 3.0.10 zawiera lukę polegającą na braku weryfikacji bieżącego hasła podczas zmiany hasła przez uwierzytelnionego użytkownika. Atakujący, który przejmie sesję, może bez podania starego hasła zmienić hasło ofiary, co prowadzi do pełnego przejęcia konta.

Flowise przed wersją 3.0.6 zawiera podatność na odczyt dowolnego pliku w parametrze chatId endpointów /api/v1/get-upload-file oraz /api/v1/openai-assistants-file/download. Wartość chatId nie jest walidowana i przekazywana do funkcji streamStorageFile(), gdzie ścieżka wyszukiwania pliku skonstruowana bez orgId jest oceniana po sprawdzeniu ograniczenia katalogu przechowywania, co umożliwia przejście poza zamierzony katalog. Nieuwierzytelnieni atakujący mogą odczytać wrażliwe pliki, takie jak /root/.flowise/database.sqlite, ujawniając całą zawartość bazy danych w domyślnej konfiguracji.

Podatność dotyczy incydentu w łańcuchu dostaw Parse Server przed wersją 4.10.0, gdzie nieprawidłowe tagi wersji zostały wypchnięte do oficjalnego repozytorium, wskazując na nieprzejrzany prywatny fork współpracownika z uprawnieniami do zapisu. Nie opublikowano żadnych wydań z tymi tagami; projekt był narażony tylko wtedy, gdy definiował zależność opartą na git, odnoszącą się do jednego z dotkniętych tagów (np. parse-server#4.9.3). Kod za tagami nie został przejrzany ani zatwierdzony, a chociaż nie zidentyfikowano złośliwego kodu, nie można wykluczyć wprowadzenia luk w zabezpieczeniach.

Podatność w Parse Server przed wersją 4.10.0 wynika z błędnego oznaczenia wersji w repozytorium, które wskazywały na nieprzejrzany kod z prywatnego forka. Atakujący mógł wykorzystać te oznaczenia w deklaracjach zależności, aby uruchomić nieprzejrzany i potencjalnie złośliwy kod.

Podatność umożliwia obejście ograniczeń nazw X.509 poprzez pole Subject Common Name traktowane jako nazwa typu DNS. Certyfikat, którego CN narusza ograniczenia DNS nałożone przez CA, może zostać zaakceptowany.

W bibliotece wolfSSL przed wersją 5.9.0 wykryto przepełnienie bufora sterty w ścieżce serializacji ACK protokołu DTLS 1.3, występujące przed uwierzytelnieniem łączącego się peera. Błąd wynika z obcięcia liczby całkowitej podczas obliczania długości listy numerów rekordów ACK, co prowadzi do alokacji zbyt małego bufora i jego nadpisania.

Podatność w funkcji __assert_fail w bibliotece relibc (commit 61f42d) umożliwia atakującemu wywołanie błędu unwrap, co prowadzi do odmowy usługi (DoS) poprzez przesłanie spreparowanego ciągu znaków.

Podatność w funkcji pthread_rwlockattr_setpshared() w bibliotece relibc (commit 61f42d) umożliwia atakującemu spowodowanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Podatność niebezpiecznych uprawnień w usłudze MSI NBFoundation Service w wersji 2.0.2506.1201 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez komponent MSIAPService.exe.

Podatność w OHIF Viewer dotyczy dwóch domyślnie skonfigurowanych źródeł danych (DICOMWebProxy i DICOMJSON), które pobierają dowolny parametr URL bez walidacji. Globalna usługa uwierzytelniania automatycznie dołącza token OIDC Bearer uwierzytelnionego użytkownika do żądań, wysyłając go na serwer kontrolowany przez atakującego. Źródła danych DICOMweb nie są podatne.

Podatność w serwerze Bitwarden przed wersją 2026.5.0 umożliwia uwierzytelnionym użytkownikom niestandardowym z uprawnieniem ManageUsers usunięcie kont administratorów z organizacji. Atak polega na ominięciu braku sprawdzenia hierarchii ról w punkcie końcowym masowego usuwania użytkowników poprzez podanie identyfikatorów administratorów w żądaniu DELETE.

Podatność umożliwia akceptację nieuzgodnionego surowego klucza publicznego (Raw Public Key, RFC 7250) zamiast certyfikatu X.509, co prowadzi do pominięcia walidacji łańcucha zaufania. Sytuacja dotyczy tylko kompilacji z włączoną obsługą RPK (HAVE_RPK), która domyślnie jest wyłączona, ale włączana przez flagę --enable-all.

Podatność w bibliotece Renesas TSIP TLS 1.3 powoduje zapis poza dozwolonym obszarem bufora transkryptu uzgadniania. Funkcja tsip_StoreMessage() nie przerywa wykonania po przekroczeniu limitu 8 KB, co prowadzi do uszkodzenia sterty i potencjalnego zdalnego ataku typu odmowa usługi (DoS).

Dekoder TIFF nie ogranicza rozmiaru kafelków w obrazach kafelkowych, co pozwala złośliwemu lub uszkodzonemu obrazowi z bardzo dużym kafelkiem na spowodowanie nieograniczonego zużycia pamięci.

Dekoder WebP może ulec awarii podczas przetwarzania fragmentu VP8, którego wymiary nie zgadzają się z rozmiarem płótna.

Podatność niebezpiecznych uprawnień w usłudze MSI NBFoundation Service w wersji 2.0.2506.1201 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez wykorzystanie szyfrowania 3DES-ECB.

Podatność niebezpiecznych uprawnień w usłudze MSI NBFoundation Service w wersji 2.0.2506.1201 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez potok MSI_SERVICE_2.

W systemie GROCERY-STORE-MANAGEMENT-SYSTEM-USING-PHP-AND-MYSQL-PHPMYADMIN v1.0 wykryto podatność na iniekcję SQL w parametrze scost w pliku /grocery/search_products.php. Umożliwia ona atakującym dostęp do wrażliwych danych w bazie poprzez spreparowane zapytanie SQL.

Podatność w bibliotece kryptograficznej podczas weryfikacji podpisu certyfikatu SM2/SM3. Przy parsowaniu certyfikatu z podpisem SM3wSM2, obliczanie identyfikatora klucza podmiotu odczytuje 65 bajtów klucza publicznego bez sprawdzenia, czy klucz jest wystarczająco długi. Klucz krótszy niż 65 bajtów powoduje odczyt poza stertą, co może prowadzić do awarii (odmowa usługi).