Katalog podatności CVE

Endpoint diagnostyki sieciowej na serwerze WWW na porcie 8090 jest podatny na wstrzykiwanie poleceń. Atakujący może zdalnie wykonać dowolne polecenia systemowe.

Aplikacja EVbee Service dla Androida używa szyfrowania TLS, ale nie weryfikuje certyfikatu serwera, co umożliwia atakującemu w sieci przechwycenie i manipulację komunikacją. Dodatkowo ruch jest słabo szyfrowany przy użyciu RC4 z zakodowanym na stałe kluczem, co pozwala atakującemu uzyskać dostęp do danych, w tym kodów dostępu do stacji ładowania.

Podatność w aplikacji Thales CERT "Suspicious" w wersji 1.3.4 i wcześniejszych umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu oraz nadpisywanie plików aplikacji, w tym modułów Pythona, plików konfiguracyjnych, wejść cron i artefaktów wykonawczych. Prowadzi to do trwałej odmowy usługi, potencjalnego ujawnienia sekretów aplikacji lub integracji oraz wykonania kodu na poziomie roota w kontenerze Django.

Krytyczna podatność Server-Side Template Injection (SSTI) w module centreon-open-tickets Centreon. Pole message_confirm jest przechowywane bez sanityzacji i renderowane przez Smarty bez włączonej polityki bezpieczeństwa, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie i wykonanie dowolnego kodu na serwerze.

Rozszerzenie Joomla Helix Ultimate w wersji poniżej 2.2.7 zawiera podatność na nieuwierzytelnione usuwanie dowolnych plików. Atakujący bez logowania może usunąć dowolny plik na serwerze.

W urządzeniach z serii WAGO System I/O Field wewnętrzna funkcja diagnostyczna aktywuje się podczas początkowego uruchamiania. Nie jest ona udokumentowana i staje się dostępna bez uwierzytelnienia na krótki czas we wczesnej fazie bootowania. W tym oknie niezautoryzowany atakujący zdalnie może uzyskać dostęp do wewnętrznych procesów systemu, prowadząc do pełnego przejęcia urządzenia.

Wtyczka User Registration & Membership dla WordPress przed wersją 5.2.2 nie weryfikuje autentyczności przychodzących powiadomień webhook od dostawcy płatności przed ich przetworzeniem. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie zdarzenia zatwierdzenia płatności i aktywację płatnej subskrypcji członkowskiej bez dokonania rzeczywistej płatności.

W urządzeniu Comfast CF-WR631AX V3 do wersji 2.7.0.8 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem występuje w funkcji system_wl_upload_pic_file w pliku /usr/bin/webmgnt w komponencie FastCGI Backend, gdzie argument filename jest nieprawidłowo obsługiwany. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Flowise przed wersją 3.1.0 (wersje 3.0.13 i wcześniejsze) używa słabych, zakodowanych na stałe domyślnych sekretów JWT ('auth_token', 'refresh_token') oraz domyślnych wartości odbiorcy i wystawcy ('AUDIENCE', 'ISSUER') w oprogramowaniu pośredniczącym uwierzytelniania passport. Gdy zmienne środowiskowe nie są ustawione, aplikacja po cichu używa tych publicznie znanych domyślnych wartości, co pozwala atakującemu na fałszowanie ważnych tokenów JWT i podszywanie się pod dowolnego użytkownika, w tym administratorów.

Crawl4AI przed wersją 0.8.7 zawiera podatność umożliwiającą dowolny zapis plików w endpointach /screenshot i /pdf serwera API Docker. Parametr output_path akceptuje dowolne ścieżki systemowe bez walidacji, co pozwala atakującemu na nadpisanie plików serwera i spowodowanie odmowy usługi.

PraisonAI przed wersją 1.6.78 zawiera podatność zdalnego wykonania kodu w funkcji CodeAgent._execute_python(), która wykonuje kod Python generowany przez model LLM bez walidacji AST, ograniczeń importów ani izolacji piaskownicy. Atakujący mogą wpływać na wynik LLM poprzez wstrzykiwanie promptów, aby wykraść wszystkie sekrety środowiskowe i wykonać dowolny kod na systemie hosta.

PraisonAI przed wersją 4.6.78 zawiera podatności umożliwiające dowolny zapis plików i wykonanie poleceń w komponencie AICoder. Brak walidacji ścieżek i sanityzacji poleceń w wywołaniach narzędzi LLM pozwala atakującym na wstrzykiwanie złośliwych promptów przez interfejs czatu.

Podatność w PraisonAI przed wersją 4.6.78 pozwala na wstrzyknięcie SQL/CQL poprzez nieprawidłową walidację argumentu wymiaru w backendach PGVector i Cassandra. Atakujący może przekazać złośliwy ciąg znaków, który zostanie bezpośrednio wstawiony do zapytania CREATE TABLE, co może prowadzić do wykonania nieautoryzowanych operacji na bazie danych.

Podatność w rozszerzeniu Joomla RSFiles (wersje < 1.17.12) umożliwiająca nieuwierzytelnionemu atakującemu przesyłanie dowolnych plików, w tym wykonywalnych, co prowadzi do pełnego zdalnego wykonania kodu (RCE).

Podatność w punkcie końcowym WebSocket stacji ładowania umożliwia nawiązywanie połączeń bez wymaganej autoryzacji, co może prowadzić do eskalacji uprawnień.

Podatność w module rejestracji gości Drupal Commerce. Problem dotyczy wszystkich wersji rejestracji gości Commerce.

OpenPLC Runtime v3 zawiera uwierzytelnioną podatność na zapis dowolnych plików w starszym interfejsie webowym podczas przesyłania programu. Atakujący może dostarczyć dowolną nazwę pliku, która jest zapisywana w bazie danych i używana jako ścieżka docelowa bez walidacji, co pozwala na zapis plików w dowolnym miejscu zapisywalnym przez proces serwera WWW.

W Drupal Mother May I wykryto podatność, która może umożliwiać nieautoryzowany dostęp lub inne zagrożenia. Problem dotyczy wszystkich wersji modułu Mother May I.

Tilt HUD HTTP serwer w wersjach od 0.20.8 do 0.37.3 rejestruje procedury obsługi na routerze gorilla/mux bez uwierzytelniania. Gdy HUD jest powiązany z adresem innym niż loopback, nieuwierzytelniony atakujący sieciowo może wywoływać zasoby zdefiniowane przez programistę, manipulować argumentami Tiltfile, odczytywać pełny stan silnika (w tym token sesji) oraz wywoływać zasoby apiserver przez handler /proxy dołączający token.

Podatność w module Drupal Formatter Field umożliwia niekontrolowaną modyfikację dynamicznie określonych atrybutów obiektu, co prowadzi do wstrzyknięcia obiektu. Problem dotyczy wersji od 0.0.0 do 2.0.0.