Katalog podatności CVE

Open WebUI w wersjach od 0.9.6 do 0.11.0 umożliwia uwierzytelnionemu użytkownikowi anulowanie zadań (np. generowania odpowiedzi modelu) innego użytkownika, znając jego identyfikator czatu. Dzieje się tak, ponieważ operacja usuwania czatu anuluje zadania przed sprawdzeniem uprawnień do usunięcia. Luka została naprawiona w wersji 0.11.0.

Podatność dotycząca tworzenia plików tymczasowych w wersji Linux Lenovo XClarity Essentials OneCLI 5.5.0 i niższych może pozwolić lokalnemu atakującemu o niskich uprawnieniach na nadpisanie lub obcięcie dowolnych plików lokalnych danymi generowanymi przez program, gdy OneCLI jest uruchamiany z podwyższonymi uprawnieniami.

W Systerel S2OPC do wersji 1.7.3 wykryto słabość w funkcji LockedStaMac_ProcessMsg_DeleteMonitoredItemsResponse w pliku src/ClientServer/frontend/client_wrapper/internal/state_machine.c komponentu DeleteMonitoredItemsRequest Handler. Manipulacja powoduje odczyt poza zakresem pamięci. Atak może być wykonany tylko lokalnie, a exploit został publicznie udostępniony.

Podatność Cross-Site Request Forgery w module Oidcc.Plug.AuthorizationCallback biblioteki oidcc_plug. Atakujący może sprawić, że przeglądarka ofiary zakończy przepływ autoryzacji, którego ofiara nie inicjowała, co prowadzi do zalogowania ofiary na konto atakującego.

Wtyczka Brizy dla WordPressa przed wersją 2.8.19 nieprawidłowo weryfikuje autoryzację na modyfikowanym obiekcie przed aktualizacją metadanych typu szablonu, walidując parametr żądania inny niż ten używany w operacji zapisu. Pozwala to użytkownikom z uprawnieniami Współautora i wyżej na zmianę przypisania typu szablonu dla szablonów należących do innych użytkowników.

Wtyczka Brizy dla WordPressa przed wersją 2.8.19 nie ogranicza prawidłowo, kto może modyfikować globalne dane projektowe witryny, oraz nie sanitizuje części tych danych przed ich wyświetleniem. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami Autora i wyżej przechowywanie dowolnego JavaScriptu, który jest następnie serwowany bez sanitizacji na stronach front-end i wykonuje się w przeglądarce każdego odwiedzającego, w tym administratorów.

Wtyczka MonsterInsights dla WordPressa przed wersją 11.1.0 nieprawidłowo weryfikuje podpis w jednej z nieuwierzytelnionych akcji AJAX. Gdy wtyczka nie jest połączona z Google Analytics, klucz HMAC jest pusty, co pozwala nieuwierzytelnionym atakującym na sfałszowanie podpisu i nadpisanie wartości konfiguracyjnej, zakłócając analitykę serwerową w trybie Manual GA4.

W SSSD znaleziono błąd w funkcji sss_nss_protocol_fill_initgr() w responderze NSS. Funkcja wstępnie przydziela miejsce na odpowiedź dla wszystkich wpisów grup, ale nie zmniejsza pakietu, gdy grupy są pomijane, co powoduje wysyłanie niezainicjalizowanych bajtów z sterty do klienta. Lokalny atakujący może to wykorzystać do ujawnienia danych z pamięci podręcznej katalogu i informacji o układzie sterty z procesu sssd_nss.

W bibliotece popt, służącej do parsowania opcji wiersza poleceń, znaleziono błąd off-by-one w funkcji poptStuffArgs. Przy wielokrotnym wywołaniu przez aplikację hosta lub przez głębokie zagnieżdżenie aliasów może dojść do uszkodzenia wewnętrznych danych programu. To uszkodzenie może potencjalnie umożliwić lokalnemu atakującemu wykonanie dowolnego kodu, jeśli aplikacja hosta następnie niebezpiecznie przetworzy zmienione dane.

W komponencie keycloak-services (część Red Hat Build of Keycloak) wykryto błąd w endpointcie wylogowania backchannel. Gdy dostawca tożsamości OIDC jest skonfigurowany do pomijania weryfikacji podpisu, system błędnie akceptuje żądania wylogowania bez podpisu kryptograficznego. Atakujący znający szczegóły sesji użytkownika może wymusić jego wylogowanie.

Podatność w kliencie HTTP Node.js powoduje desynchronizację żądań w serwerach proxy opartych na Node.js, które odtwarzają nagłówki wychodzące z widocznych nagłówków `IncomingMessage`, jednocześnie przesyłając oryginalne ciało żądania do ponownie używanego połączenia backendu. Node.js może pominąć nagłówki przekraczające `maxHeadersCount`/`maxHeaderPairs` w `req.headers`, `req.rawHeaders` i `req.headersDistinct`, ale nadal używać ich wewnętrznie do ramowania wiadomości HTTP, w szczególności ukrywając `Content-Length` przed aplikacją, podczas gdy ciało żądania jest nadal dostarczane.

Niewystarczająca weryfikacja autentyczności danych w Caliptra Core ROM i Core Firmware (funkcja validate_debug_unlock_token()) w trybie podsystemu pozwala atakującemu z dostępem do usługi podpisywania debug unlock integratora na odblokowanie debugowania produkcyjnego na niezamierzonym urządzeniu, prezentując ważny token wydany dla innego urządzenia o tym samym hashu klucza debug unlock. Nonce 384-bitowy nadal zapobiega replayowi wcześniej wydanych tokenów. Praktyczny wpływ jest ograniczony do utraty egzekwowania zakresu per-urządzenie w grupie urządzeń, które z założenia mają tego samego autorytetu odblokowania; nie umożliwia odblokowania debugowania na urządzeniach spoza tej grupy.

Misskey w wersjach od 2025.3.2 do 2026.5.4 (przed 2026.5.4) zawiera podatność polegającą na braku odpowiednich kontroli uprawnień, co umożliwia dostęp do niektórych danych z funkcji Direct Messages (dawniej Chat) niezależnie od uprawnień konta. Notatki z widocznością 'specified' nie są dotknięte. Problem został naprawiony w wersji 2026.5.4.

OpenAkita do wersji 1.27.12 zawiera podatność XSS w komponencie File Upload API, w pliku /api/upload. Manipulacja argumentem File umożliwia zdalne wykonanie skryptu. Eksploitacja jest trudna, ale exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.

HCL iControl jest podatny na brak kontroli dostępu. Aplikacja nie egzekwowała odpowiednich szczegółowych kontroli dostępu, umożliwiając użytkownikom dostęp do funkcji administracyjnych bez odpowiedniej autoryzacji.

W urządzeniach wielofunkcyjnych (MFP) Sharp i Toshiba Tec dane drukowania są przechowywane wewnętrznie w pamięci podręcznej i nie są czyszczone po zakończeniu zadania. Mogą być później dostępne dla innych użytkowników.

W aplikacji Meesho Online Shopping App na Androida do wersji 20260607 wykryto podatność w komponencie com.meesho.supply. Argumenty user_id, numer telefonu, adres e-mail i nazwa są przechowywane w postaci jawnej (czystego tekstu). Atak wymaga fizycznego dostępu do urządzenia.

Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień w akcji AJAX, która zwraca zagregowane sumy przychodów sklepu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie dziennych danych przychodów normalnie zarezerwowanych dla administratorów i menedżerów raportów.

Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień ani własności w akcji AJAX, która zwraca treść posta, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie treści dowolnego posta, strony lub niestandardowego typu posta na stronie — w tym szkiców, oczekujących i prywatnych postów należących do innych użytkowników — niezależnie od własności.

Wtyczka Tag, Category, and Taxonomy Manager do WordPressa przed wersją 3.51.0 nie weryfikuje, czy użytkownik ma uprawnienia dostępu do referencyjnego posta przed jego przetworzeniem i zwróceniem pochodnych danych. Pozwala to użytkownikom z uprawnieniami współautora na ujawnienie danych z prywatnych lub szkicowych postów, których nie są właścicielami.