Katalog podatności CVE

W Apache IoTDB wykryto podatność typu Path Traversal, która pozwala na ominięcie ograniczeń ścieżek dostępu do plików. Problem dotyczy wersji od 2.0.0 do 2.0.6 oraz od 1.0.0 do 1.3.6.

W urządzeniach GeoVision GV-LPC2011 i GV-LPC2211 w wersji V1.12 i wcześniejszych, w komponencie vlsvr, występuje podatność na przepełnienie bufora stosu. Niezautoryzowany atakujący może zdalnie wykorzystać tę lukę, wysyłając spreparowane dane logowania z nadmiernie długimi danymi wejściowymi, co prowadzi do uszkodzenia pamięci, odmowy usługi lub potencjalnie zdalnego wykonania kodu.

W urządzeniach GeoVision GV-LPC2011 i GV-LPC2211 w wersji V1.12 i wcześniejszych wykryto podatność na przepełnienie bufora stosu w komponencie ssvr. Problem wynika z niewystarczającego sprawdzania granic podczas parsowania pól uwierzytelniania RTSP Digest. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę, wysyłając spreparowane żądanie RTSP z nadmiernie długimi danymi uwierzytelniającymi, co prowadzi do uszkodzenia pamięci, odmowy usługi lub potencjalnie zdalnego wykonania kodu.

W urządzeniach GeoVision GV-LPC2011 i GV-LPC2211 w wersji V1.12 i wcześniejszych wykryto podatność na przepełnienie bufora stosu w komponencie ssvr. Problem wynika z niewystarczającego sprawdzania granic podczas przetwarzania niestandardowych danych uwierzytelniających RTSP. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę, wysyłając spreparowane żądanie RTSP, co może prowadzić do uszkodzenia pamięci, odmowy usługi lub potencjalnie wykonania dowolnego kodu.

W urządzeniach GeoVision GV-LPC2011 i GV-LPC2211 w wersji V1.12 i wcześniejszych, w serwerze HTTP thttpd, występuje podatność na przepełnienie bufora stosu. Luka wynika z niewystarczającego sprawdzania granic podczas przetwarzania parametrów żądań HTTP w określonej ścieżce. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowane żądanie HTTP z nadmiernie długim wejściem, co prowadzi do uszkodzenia pamięci, odmowy usługi lub potencjalnie zdalnego wykonania kodu.

Podatność w Node.js dotyczy obsługi nazw hostów TLS, gdzie osadzone znaki null (nul) w nazwach hostów mogą prowadzić do cichego ponownego wiązania autorytetu z powodu obcinania ciągów znaków w resolver bindings. Problem występuje we wszystkich wspieranych liniach wydań: Node.js 22, Node.js 24 i Node.js 26.

Podatność w punktach końcowych WebSocket polega na braku odpowiednich mechanizmów uwierzytelniania, co umożliwia atakującym podszywanie się pod stacje ładowania. W rezultacie osoba atakująca może uzyskać nieautoryzowany dostęp do wrażliwych danych lub wykonać nieautoryzowane operacje.

Flowise zawiera podatność polegającą na przechodzeniu poza katalog (path traversal) w punkcie końcowym /api/v1/document-store/loader/process, która umożliwia nieuwierzytelnionym atakującym zapisywanie dowolnych plików w systemie plików. Atakujący mogą wykorzystać niesanitowane parametry fileName z sekwencjami ../ do nadpisania krytycznych plików, takich jak package.json, i uzyskać zdalne wykonanie kodu po ponownym uruchomieniu aplikacji.

Flowise przed wersją 3.0.6 (dotknięte wersje 2.2.7-patch.1 i wcześniejsze) zawiera podatność na zdalne wykonanie kodu bez sandboksa w funkcji Custom MCP. Atakujący może wysłać spreparowany ładunek JSON z nagłówkiem 'x-request-from: internal' do endpointu /api/v1/node-load-method/customMCP, aby wykonać dowolne polecenia systemowe, co prowadzi do całkowitego przejęcia kontenera lub serwera.

Flowise przed wersją 3.0.6 (dotknięte wersje 2.2.8 i wcześniejsze) zawiera podatność na dowolny dostęp do plików z powodu braku walidacji, czy parametry chatflowId i chatId są UUID lub liczbami w operacjach na plikach. Poprzez podanie wartości typu path traversal (np. '../../../../../tmp') jako identyfikatora chatflow, nieuwierzytelniony atakujący może użyć endpointu /api/v1/chatflows (poprzez addBase64FilesToStorage) do zapisu dowolnych plików oraz endpointów /api/v1/get-upload-file i /api/v1/openai-assistants-file/download (poprzez streamStorageFile) do odczytu dowolnych plików. Dowolny zapis plików może prowadzić do zdalnego wykonania kodu.

Flowise w wersji do 2.2.4 zawiera nieuwierzytelnioną podatność na dowolne przesyłanie plików w punkcie końcowym /api/v1/attachments, gdy storageType jest ustawiony na local. Atakujący mogą wykorzystać przejście ścieżki w parametrach chatId i chatflowId, aby przesłać złośliwe pliki do dowolnych katalogów, co może prowadzić do zdalnego wykonania kodu i przejęcia serwera.

Flowise zawiera podatność polegającą na pominięciu uwierzytelniania w niechronionym punkcie końcowym /api/v1/account/register, co umożliwia nieuwierzytelnionym atakującym tworzenie kont użytkowników. Zdalni atakujący mogą wykorzystać ten punkt końcowy do rejestracji dowolnych kont i uwierzytelnienia się w systemie, uzyskując pełny dostęp do API bez poświadczeń.

Podatność w aplikacji qrscp polega na tym, że procedura obsługi C-STORE wykorzystuje konkretną instancję z dostarczonych przez atakującego zestawów danych DICOM bezpośrednio w funkcji os.path.join() bez sanityzacji, co umożliwia zapis plików do dowolnych ścieżek.

Podatność Use-after-free w obsłudze hybrydowych kluczy PQC. Jest to niekompletne załamanie problemu CVE-2026-5460 (załatanego w wersji 5.9.1): złośliwy serwer TLS 1.3 wysyłający obcięty hybrydowy KeyShare PQC może nadal uruchomić ścieżkę czyszczenia błędów na zwolnionej pamięci.

Wtyczka OMGF Pro dla WordPressa zawiera podatność na nieograniczone przesyłanie plików z niebezpiecznym typem, co umożliwia atakującemu wgranie złośliwych plików na serwer. Problem dotyczy wersji od n/a do 5.2.6 włącznie.

RTKLIB do wersji 2.4.3 zawiera podatność na przepełnienie bufora w funkcji decode_type1033, która nie ogranicza liczników długości do rozmiaru bufora docelowego, umożliwiając przepełnienie do 191 bajtów do stałych 64-bajtowych pól deskryptora. Atakujący kontrolujący strumień korekcyjny NTRIP lub szeregowy RTCM3 może spreparować poprawną wiadomość typu 1033 z CRC, aby uszkodzić sąsiednie elementy obiektu rtcm_t, potencjalnie osiągając wykonanie dowolnego kodu lub odmowę usługi.

SeaweedFS przed wersją 4.30 zawiera podatność polegającą na nieprawidłowym czyszczeniu ścieżek w routerach S3 i Iceberg REST catalog. Atakujący może użyć sekwencji '..' w żądaniu, aby ominąć kontrolę dostępu i odczytać lub zapisać dane w dowolnym zasobniku (bucket).

File Browser to interfejs zarządzania plikami, który od wersji 2.0.0-rc.1 pozwala na podszywanie się pod użytkowników, w tym administratorów, przez nieautoryzowanych atakujących. Wystarczy wysłać sfałszowany nagłówek HTTP, aby uzyskać dostęp bez potrzeby podawania danych uwierzytelniających.

File Browser przed wersją 2.63.6 zawierał lukę w funkcji Hook Authentication, która pozwalała na delegowanie weryfikacji logowania do zewnętrznego polecenia powłoki. Użytkownicy mogli wprowadzać dane logowania, które były interpolowane do tego polecenia bez sanitizacji, co umożliwiało atakującym zdalne wykonanie dowolnych poleceń systemowych.

Podatność w edytorze Cursor przed wersją 3.0 pozwala złośliwemu agentowi na zapis plików poza obszarem roboczym bez zgody użytkownika. Agent wykorzystuje dowiązanie symboliczne w obszarze roboczym, które wskazuje na lokalizację zewnętrzną, a następnie wymusza błąd kanonizacji ścieżki, co skutkuje zapisem pliku w dowolnym miejscu. Umożliwia to zdalne wykonanie kodu bez piaskownicy, np. przez nadpisanie pomocnika sandboxa.