Katalog podatności CVE

Wtyczka User Registration & Membership dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 5.1.2 włącznie. Problem wynika z nieprawidłowego uwierzytelniania w funkcji 'register_member', co umożliwia nieautoryzowanym atakującym zalogowanie nowo zarejestrowanego użytkownika, który ma ustawiony meta użytkownika 'urm_user_just_created'.

Vitess to system klastrowania baz danych dla poziomego skalowania MySQL. Przed wersjami 23.0.3 i 22.0.4, każdy z dostępem do lokalizacji przechowywania kopii zapasowych (np. bucket S3) mógł manipulować plikami manifestu kopii zapasowej, co prowadziło do nieautoryzowanego dostępu do środowiska produkcyjnego.

W platformie Agenta, która jest otwartoźródłową platformą LLMOps, występuje podatność typu Server-Side Template Injection (SSTI) w wersjach przed 0.86.8 w renderowaniu szablonów API serwera. Podatny kod znajduje się w pakiecie SDK, ale jest wykonywany po stronie serwera w procesie API podczas uruchamiania ewaluatorów.

Podatność w bibliotece Koa dla Node.js polega na niewłaściwym parsowaniu nagłówka Host przez API `ctx.hostname`. Atakujący może wysłać spreparowany nagłówek Host zawierający znak `@`, co powoduje zwrócenie kontrolowanej przez niego wartości, np. `evil[.]com`. Problem występuje w wersjach przed 3.1.2 i 2.16.4.

W Agenta-API przed wersją 0.48.1 występowała podatność na ucieczkę z piaskownicy w niestandardowym evaluatorze kodu Pythona. Błędne dodanie pakietu `numpy` do białej listy jako bezpiecznego umożliwiło uwierzytelnionym użytkownikom ominięcie piaskownicy i wykonanie dowolnego kodu na serwerze API.

WPGraphQL, dostarczający API GraphQL dla stron WordPress, przed wersją 2.9.1 zawierał podatność na wstrzykiwanie poleceń systemowych w workflow GitHub Actions (`release.yml`). W momencie scalania pull requesta z `develop` do `master`, treść PR była wstrzykiwana bezpośrednio do polecenia shell, co umożliwiało wykonanie dowolnych poleceń na runnerze Actions.

WireGuard Portal (wg-portal) to webowy portal konfiguracyjny do zarządzania serwerem WireGuard. Przed wersją 2.1.3, każdy uwierzytelniony użytkownik, który nie był administratorem, mógł stać się pełnoprawnym administratorem, wysyłając pojedyncze żądanie PUT do swojego profilu użytkownika z wartością "IsAdmin": true w ciele JSON.

Wtyczka WP Responsive Images dla WordPressa jest podatna na atak typu Path Traversal we wszystkich wersjach do i włącznie z 1.0 poprzez parametr 'src'. Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, co może zawierać wrażliwe informacje.

W Go MCP SDK przed wersją 1.3.1 używano standardowego kodera/dekodera JSON z biblioteki Go, który dopasowuje klucze JSON do pól struktury bez uwzględniania wielkości liter. To narusza specyfikację JSON-RPC 2.0, która wymaga dokładnych nazw pól. Złośliwy peer MCP mógł wysyłać wiadomości protokołu z niestandardową wielkością liter, które SDK akceptowało, co mogło prowadzić do ominięcia inspekcji pośredniej i niespójności między implementacjami.

pypdf to darmowa i otwartoźródłowa biblioteka PDF napisana w czystym Pythonie. Przed wersją 6.7.3, atakujący mógł wykorzystać tę podatność do stworzenia PDF, który prowadził do wyczerpania pamięci RAM.

rldns to otwartoźródłowy serwer DNS. W wersji 1.3 występuje błąd odczytu poza granicami pamięci, który prowadzi do odmowy usługi. Wersja 1.4 zawiera poprawkę dla tego problemu.

Biblioteka c3p0 do zarządzania pulami połączeń JDBC jest podatna na atak poprzez złośliwie spreparowane obiekty serializowane w Javie oraz instancje `javax.naming.Reference`. Właściwość `userOverridesAsString` w implementacjach `ConnectionPoolDataSource` była przechowywana jako heksadecymalnie zakodowany obiekt serializowany, co umożliwiało zdalne wykonanie kodu przez atakującego, który mógł zresetować tę właściwość. Podatność ta jest szczególnie niebezpieczna w połączeniu z lukami w zależności mchange-commons-java, która umożliwiała zdalne pobieranie i wykonywanie kodu z zewnętrznych lokalizacji.

Edytor kodu Zed ma instalator rozszerzeń, który pozwala na pobieranie plików tar/gzip. W wersjach przed 0.224.4, ekstraktor tar (`async_tar::Archive::unpack`) tworzy dowiązania symboliczne z archiwum bez walidacji, co umożliwia atakującemu wykonanie kodu poprzez zapis plików w dowolnych lokalizacjach na hoście.

Zed, edytor kodu, ma podatność na ucieczkę przez symlink w wersjach przed 0.225.9 w narzędziach plików Agenta (`read_file`, `edit_file`). Umożliwia to odczyt i zapis plików poza katalogiem projektu, gdy projekt zawiera linki symboliczne wskazujące na zewnętrzne ścieżki.

GPAC to otwartoźródłowy framework multimedialny. W wersjach do 26.02.0 występuje przepełnienie bufora stosu podczas analizy plików NHML w `src/filters/dmx_nhml.c`, gdy wartość atrybutu xmlHeaderEnd jest kopiowana bez walidacji długości.

TerriaJS-Server to serwer NodeJS Express dla TerriaJS, biblioteki do budowania internetowych eksploratorów danych geograficznych. Błąd walidacji w wersjach przed 4.0.3 pozwala atakującemu na proxy'owanie domen, które nie są wyraźnie dozwolone w konfiguracji `proxyableDomains`. Wersja 4.0.3 naprawia ten problem.

Edytor kodu Zed ma podatność typu Zip Slip (przechodzenie ścieżki) w funkcjonalności ekstrakcji archiwów ZIP przed wersją 0.224.4. Funkcja `extract_zip()` nie weryfikuje nazw plików w archiwum ZIP pod kątem sekwencji przechodzenia ścieżki, co pozwala złośliwym rozszerzeniom na zapis plików poza wyznaczoną lokalizację.

Manyfold to otwartoźródłowa, samodzielnie hostowana aplikacja webowa do zarządzania kolekcją modeli 3D, szczególnie skoncentrowana na druku 3D. Przed wersją 0.133.0, w przypadku włączonej generacji renderów modeli, zalogowany użytkownik mógł uzyskać zdalne wykonanie kodu (RCE) poprzez przesłanie pliku ZIP zawierającego nazwę pliku z metaznakiem powłoki. Nazwa pliku trafia do wywołania backtick w Ruby bez sanitizacji.

TinyWeb to serwer WWW (HTTP, HTTPS) napisany w Delphi dla Win32. Wersje przed 2.02 mają podatność na Denial of Service (DoS) poprzez wyczerpanie pamięci, co pozwala nieautoryzowanym zdalnym atakującym na wysyłanie żądań HTTP POST z wyjątkowo dużym nagłówkiem `Content-Length`, co prowadzi do awarii serwera.

TinyWeb to serwer WWW (HTTP, HTTPS) napisany w Delphi dla Win32. Wersje przed 2.02 są podatne na atak Denial of Service (DoS) znany jako Slowloris, ponieważ serwer tworzy nowy wątek systemowy dla każdego połączenia bez ograniczenia równoczesności lub odpowiedniego limitu czasu na żądanie.