Katalog podatności CVE

W systemie zarządzania pojazdami itsourcecode w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem ID w pliku /billaction.php może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.

CollabPlatform to platforma do współpracy nad dokumentami w czasie rzeczywistym. Wszystkie wersje CollabPlatform mają błędnie skonfigurowany projekt Appwrite, który pozwala na dowolne źródła w odpowiedziach CORS oraz umożliwia żądania z poświadczeniami.

OpenClaw to osobisty asystent AI. W wersjach 2026.2.17 i wcześniejszych, dostarczanie webhooków w pliku src/gateway/server-cron.ts używa funkcji fetch() bezpośrednio, co pozwala na dostęp do prywatnych punktów końcowych bez odpowiednich kontroli polityki SSRF. Problem został naprawiony w wersji 2026.2.19.

OpenClaw to osobisty asystent AI. W wersjach 2026.2.13 i wcześniejszych, podczas korzystania z macOS, ścieżka odświeżania poświadczeń klucza Claude CLI konstruowała polecenie powłoki do zapisu zaktualizowanego obiektu JSON w Keychain, co stwarzało ryzyko wstrzyknięcia poleceń systemowych.

Wallos to otwartoźródłowy, samodzielny tracker subskrypcyjny, w wersjach 4.6.0 i poniżej zawiera podatność typu Server-Side Request Forgery (SSRF) w funkcjonalności przesyłania logo/ikony subskrypcji i płatności. Aplikacja weryfikuje adres IP podanego URL, ale pozwala na przekierowania HTTP, co umożliwia atakującemu ominięcie tej weryfikacji i dostęp do zasobów wewnętrznych.

W systemie zakupów online Agri-Trading 1.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku admin/productcontroller.php komponentu obsługi żądań HTTP POST. Manipulacja argumentem Product prowadzi do wstrzyknięcia SQL.

ZoneMinder to darmowa aplikacja do monitoringu wideo, która w wersjach 1.36.37 i niższych oraz 1.37.61 do 1.38.0 zawiera podatność typu SQL Injection drugiego rzędu w pliku web/ajax/status.php w funkcji getNearEvents(). Wartości pól zdarzeń są bezpiecznie przechowywane, ale później są bezpośrednio włączane do klauzul SQL WHERE bez odpowiedniego zabezpieczenia.

BigBlueButton to open-source wirtualna klasa. W wersjach 3.0.21 i wcześniejszych, dokumentacja dotycząca 'Dostosowywania serwera' zawiera instrukcje, które narażają serwer BBB na atak typu Denial of Service, poprzez wystawienie portów (3310 i 7357) na internet.

Metabase to platforma analityki danych typu open-source. W wersjach przed 0.57.13 oraz 0.58.x do 0.58.6, uwierzytelnieni użytkownicy mogą uzyskać dostęp do wrażliwych informacji z instancji Metabase, w tym danych uwierzytelniających do bazy danych.

Zumba Json Serializer to biblioteka do serializacji zmiennych PHP w formacie JSON. W wersjach 3.2.2 i poniżej, biblioteka pozwala na deserializację obiektów PHP z JSON przy użyciu specjalnego pola @type, co może prowadzić do instancjonowania dowolnych klas bez ograniczeń.

Swiper to darmowy mobilny suwak dotykowy z przyspieszonymi przejściami i natywnym zachowaniem. W wersjach od 6.5.1 do 12.1.1 występuje podatność na zanieczyszczenie prototypu, która umożliwia atakującym zanieczyszczenie Object.prototype za pomocą spreparowanego wejścia.

Formwork to system zarządzania treścią (CMS) oparty na plikach, który w wersjach od 2.0.0 do 2.3.3 nie wymusza odpowiednich uprawnień ról podczas tworzenia kont. Użytkownik z rolą edytora może stworzyć nowe konto z uprawnieniami administratora, co prowadzi do pełnego dostępu administracyjnego.

Wykryto podatność w ustawieniach filtra TeX w Moodle, gdzie niewystarczająca sanitizacja danych konfiguracyjnych może prowadzić do wstrzykiwania poleceń. Na stronach z włączonym filtrem TeX i zainstalowanym ImageMagick, złośliwie skonstruowana wartość ustawienia wprowadzona przez administratora może skutkować niezamierzonym wykonaniem poleceń systemowych.

W systemie Moodle zidentyfikowano lukę w funkcjonalności przywracania kopii zapasowych, gdzie specjalnie przygotowane pliki kopii zapasowej nie były prawidłowo weryfikowane podczas przetwarzania. Przywrócenie złośliwego pliku kopii zapasowej może prowadzić do niezamierzonego wykonania kodu po stronie serwera.

Statmatic to system zarządzania treścią (CMS) oparty na Laravel i Git. Wersje 5.73.8 i starsze oraz 6.0.0-alpha.1 do 6.3.1 mają podatność na przechowywane XSS w polach html, co pozwala uwierzytelnionym użytkownikom z uprawnieniami do zarządzania polami na wstrzykiwanie złośliwego JavaScriptu, który wykonuje się, gdy jest wyświetlany przez użytkowników z wyższymi uprawnieniami.

Feathersjs to framework do tworzenia interfejsów API i aplikacji w czasie rzeczywistym z użyciem TypeScript lub JavaScript. W wersjach 5.0.39 i wcześniejszych, walidacja pochodzenia wykorzystuje metodę startsWith(), co pozwala atakującym na ominięcie tego sprawdzenia poprzez rejestrację domeny, która dzieli wspólny prefiks z dozwolonym pochodzeniem.

Serwer API MCP eBay to otwartoźródłowy lokalny serwer MCP, który zapewnia asystentom AI pełny dostęp do API sprzedaży eBay. Wszystkie wersje są podatne na wstrzykiwanie zmiennych środowiskowych poprzez funkcję updateEnvFile, co pozwala atakującemu na wstrzyknięcie dowolnych zmiennych do pliku konfiguracyjnego.

GetSimple CMS to system zarządzania treścią, który we wszystkich wersjach ma lukę w funkcji przesyłania plików, umożliwiającą odczyt dowolnych plików. Problem ten nie został naprawiony w momencie publikacji.

OpenSift to narzędzie do nauki AI, które przeszukuje duże zbiory danych za pomocą wyszukiwania semantycznego i generatywnej AI. W wersjach 1.1.2-alpha i wcześniejszych, funkcjonalność pobierania URL-i pozwala na zbyt luźne zachowanie serwera, co może prowadzić do żądań niebezpiecznych celów.

OpenSift to narzędzie AI do analizy dużych zbiorów danych, które w wersjach 1.1.2-alpha i poniżej renderuje niezaufane treści użytkowników/modeli w interfejsie czatu przy użyciu niebezpiecznych wzorców interpolacji HTML, co prowadzi do podatności XSS. Przechowywana treść może wykonywać JavaScript podczas późniejszego przeglądania w uwierzytelnionych sesjach.