Katalog podatności CVE

Serwer API clawvet (self-hosted) przed wersją 0.7.5 zawiera zakodowany na stałe domyślny sekret JWT ('clawvet-dev-secret-change-me') w pliku auth.ts oraz w .env.example. Ponadto endpoint GET /api/v1/scans zwraca rekordy skanów zawierające identyfikatory użytkowników bez wymagania uwierzytelnienia, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zebranie identyfikatora ofiary, sfałszowanie ważnego ciasteczka sesyjnego cg_session (HS256) przy użyciu znanego sekretu, a następnie wywołanie GET /api/v1/auth/me w celu uzyskania adresu e-mail, planu subskrypcji oraz tajnego klucza API ofiary.

Wtyczka Bricksforge dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 3.1.8.6 włącznie. Podatność wynika z nieprawidłowej walidacji parametru fieldIds w akcji rejestracji Pro Forms, co pozwala atakującemu na dodanie własnych identyfikatorów pól do zaufanej listy pól formularza. Umożliwia to niezautoryzowanym atakującym rejestrację nowego konta administratora poprzez wysłanie spreparowanego żądania do publicznie dostępnego formularza rejestracyjnego Bricksforge Pro Forms.

Jupyter Enterprise Gateway przed wersją 3.3.0 interpoluje niezaufane zmienne środowiskowe (np. KERNEL_XXX) do manifestów Kubernetes bez odpowiedniego escapowania YAML, co umożliwia ataki typu YAML injection. Atakujący mogą wstrzykiwać nowe pola, nadpisywać krytyczne pola (np. securityContext) oraz wstrzykiwać znaczniki dokumentów (---, ...), tworząc dowolne zasoby, w tym uprzywilejowane pody.

Jupyter Enterprise Gateway w wersjach od 2.0.0rc2 do 3.3.0 jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI) poprzez zmienne środowiskowe KERNEL_XXX używane podczas renderowania manifestu Kubernetes. Atakujący może wykonać kod Pythona i polecenia systemowe w usłudze Enterprise Gateway.

W bibliotece YAML::Syck dla Perla przed wersją 1.47 wykryto podatność na odczyt poza zakresem pamięci. Problem występuje w funkcji syck_base64dec, która używa indeksu typu signed char do odwołania się do tablicy b64_xtable, co przy bajtach >= 0x80 prowadzi do odczytu przed tablicą. Podatność jest aktywowana przez domyślne wywołanie Load lub LoadFile na niezaufanym dokumencie YAML zawierającym skalarny typ !!binary z bajtem o wysokim bicie.

Podatność w kliencie Zoom dla Windows, kliencie VDI oraz SDK spotkań umożliwia nieuwierzytelnionemu atakującemu przejęcie konta poprzez sieć. Problem wynika z nieprawidłowej walidacji danych wejściowych.

Jupyter Enterprise Gateway w wersjach od 2.0.0rc1 do 3.3.0 zawiera podatność polegającą na obejściu mechanizmu blokującego uruchamianie jąder Jupyter z UID lub GID 0 (root). Specjalnie spreparowana wartość KERNEL_UID lub KERNEL_GID pozwala na uruchomienie jądra jako root, co zwiększa powierzchnię ataku i może prowadzić do ucieczki z kontenera oraz przejęcia węzła roboczego i całego klastra Kubernetes.

Podatność SQL Injection w komponencie /ureport/datasource/previewData systemu ureport w wersji 2.2.9 umożliwia atakującym wstrzykiwanie złośliwych zapytań SQL. Luka ta pozwala na nieautoryzowany dostęp do wrażliwych danych przechowywanych w bazie danych.

WireGuard Easy do wersji 15.3.0 zawiera podatność polegającą na generowaniu kryptograficznie słabego jednorazowego tokena linku. Token jest obliczany przy użyciu CRC32 z losowej wartości ograniczonej do zakresu 0-999, co pozwala nieuwierzytelnionemu atakującemu na odzyskanie poświadczeń peerów WireGuard poprzez brute-force klucza składającego się z maksymalnie 1000 kandydatów na identyfikator klienta.

W ścieżce przychodzącej SCTP w systemie illumos występuje podatność polegająca na niewystarczającej walidacji parametrów adresowych w pakietach INIT ACK. Atakujący może wysłać spreparowany pakiet SCTP INIT ACK, powodując odczyt poza zakresem i uszkodzenie sterty jądra, co może prowadzić do zdalnego wykonania kodu.

Podatność w Argo Workflows przed wersjami 3.7.15 i 4.0.6 umożliwia ominięcie mechanizmu allow-list dla CVE-2026-31892. Poprzez pole ArtifactGC w WorkflowSpec użytkownik może wstrzyknąć dowolną łatkę strategicznego scalania do podu artifact-GC, w tym niebezpieczne ustawienia jak hostPath, uprzywilejowany tryb czy hostNetwork.

W Frogman przed wersją 1.6.3, użytkownicy z uprawnieniami PERM_READ mogli wywoływać wrażliwe funkcje API, ujawniając tajemnice AMI, PIN-y do połączeń wychodzących, konteksty dialplanu Asterisk, polecenia SSH, ścieżki kopii zapasowych, historię CDR oraz surowe zrzuty AMI z polami SIP (hasła, md5_cred, oauth_secret).

W Frogman przed wersją 1.6.2, funkcja fm_dialplan_apply akceptowała parametry szablonu (greeting, dest, url, extension, code, file) bez odpowiedniego oczyszczania, co pozwalało użytkownikowi z uprawnieniami PERM_WRITE i parametrem confirm:true na wstrzyknięcie dowolnych dyrektyw Asterisk, takich jak System(), Set(SHELL(...)), Goto lub Macro. Luka została naprawiona w wersji 1.6.2.

HireFlow w wersji 1.2 i wcześniejszych używa zakodowanego na stałe klucza secret_key Flask do podpisywania ciasteczek sesji. Znając tę wartość (dostępną publicznie w kodzie źródłowym), nieuwierzytelniony atakujący może sfałszować ciasteczka z rolą admin i dowolnym user_id, co pozwala ominąć uwierzytelnianie.

Grafana OnCall do wersji 1.16.11 zawiera podatność na nieuwierzytelniony dostęp, umożliwiającą zdalnym atakującym uzyskanie ważnego tokena PluginAuthToken poprzez wysłanie żądania POST do wewnętrznego punktu końcowego instalacji wtyczek z użyciem zakodowanych na stałe wartości stack_id i org_id dostępnych w publicznym kodzie źródłowym. Atakujący mogą wykorzystać uzyskany token do uwierzytelnienia się we wszystkich wewnętrznych punktach końcowych API, tworzyć dowolnych użytkowników Admin przez ścieżkę bootstrap nagłówka user-context, unieważnić prawowity token wtyczki oraz przekierować wywołania API OnCall do Grafany na kontrolowany przez atakującego host, nadpisując grafana_url i api_token organizacji.

Podatność w bibliotece XML::Bare dla Perla (wersje do 0.53) wynika z nieograniczonego wyprzedzania znaków w funkcji parserc_parse. Funkcja ta nie sprawdza, czy przesunięcia w buforze są prawidłowe, co przy skróconych ciągach, takich jak "<a/", może prowadzić do odczytu poza zakresem pamięci.

Podatność w bibliotece HTML::Bare dla Perla (wersje do 0.04) wynika z nieograniczonego wyprzedzania znaków. Funkcja parserc_parse nie sprawdza, czy przesunięcia mieszczą się w buforze podczas wyszukiwania ciągów wieloznakowych, takich jak "<![CDATA" lub terminatorów elementów, np. ">". Skrócone ciągi, jak "<a/", mogą spowodować odczyt poza dozwolonym zakresem pamięci.

Podatność w Yamcs przed wersją 5.12.7 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem ChangeMissionDatabase na zdalne wykonanie kodu poprzez nadpisanie algorytmu Python w skryptowym silniku Jython. Brak sandboksowania umożliwia import i wykonanie dowolnych klas Java, w tym java.lang.Runtime.

W Yamcs przed wersją 5.12.7 silnik skryptowy Nashorn użyty do oceny algorytmów JavaScript nie posiadał filtru klas, co pozwalało użytkownikowi z uprawnieniami ChangeMissionDatabase na podmianę algorytmu i wykonanie dowolnego kodu Java, w tym poleceń systemowych. W domyślnej konfiguracji bez pliku security.yaml wbudowany użytkownik gość ma superuser=true, co umożliwia atak bez uwierzytelnienia.

Podatność w zrok przed wersją 2.0.3 pozwala atakującemu na przekazanie absolutnego URL-a w ścieżce żądania do proxy Flask SDK Python. Funkcja urllib.parse.urljoin umożliwia zastąpienie skonfigurowanego hosta docelowego, co skutkuje wysłaniem żądania przez serwer do adresu URL wybranego przez atakującego.