Katalog podatności CVE

Podatność w inteligentnym gniazdku Prolink 13A Smart Plug (model DS-3202M-UKv3, wersja aplikacji mEzee 2.6.7) pozwala atakującemu na wywołanie odmowy usługi (DoS) lub połączenie z urządzeniem kontrolowanym przez atakującego poprzez dostarczenie spreparowanego pakietu w fazie provisioning. Wymaga to dostępu do sieci w trakcie konfiguracji urządzenia.

W Open5GS do wersji 2.7.7 wykryto lukę w pliku lib/pfcp/handler.c w komponencie PFCP Message Handler. Manipulacja prowadzi do odmowy usługi (denial of service). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Poprawka jest dostępna jako patch o nazwie 028e1dbb5e3271035ccee906ef417a97fc523f71.

W code-projects Record Management System 1.0 zidentyfikowano podatność w pliku main/reg.php. Manipulacja argumentem desc prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.

W urządzeniu TOTOLINK X5000R w wersji 9.1.0cu.2089_B20211224 wykryto lukę w funkcji exportOvpn w pliku /cgi-bin/cstecgi.cgi?action=exportOvpn&type=user. Manipulacja argumentem filetype prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Issabel Framework, framework webowy wspierający oprogramowanie Issabel PBX, przed commitem b97dbaf zawiera zakodowany na stałe klucz podpisywania JWT HS256 w pliku pbxapi index.php, identyczny we wszystkich instalacjach, co pozwala nieuwierzytelnionym zdalnym atakującym na fałszowanie ważnych tokenów bearer. Atakujący mogą użyć sfałszowanego tokenu do wywołania endpointu manager originate z parametrem aplikacji System, powodując wykonanie dowolnych poleceń systemowych przez Asterisk jako użytkownik Asterisk. Dowody eksploatacji po raz pierwszy zaobserwowano przez Shadowserver Foundation w dniu 2026-09-09.

BookStack w wersjach przed 26.05.5 zawiera lukę obejścia uwierzytelniania w implementacji logowania społecznościowego. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, uwierzytelniając się przez innego dostawcę społecznościowego współdzielącego tę samą przestrzeń nazw driver_id. Zapytanie SocialAuthService::handleLoginCallback ignoruje kolumnę driver przy pobieraniu powiązanych kont.

W Concrete CMS w wersjach przed 9.5.3 akcja save_control w kontrolerze formularzy encji Express nie weryfikowała tokenu anty-CSRF. Atakujący bez poświadczeń mógł nakłonić uwierzytelnionego administratora do wysłania sfałszowanego żądania i zapisać kontrolowane przez siebie wartości w kontrolce Text formularza Express. Wartości były emitowane bez kodowania wyjściowego, co prowadziło do trwałego XSS.

Concrete CMS w wersjach przed 9.5.3 nie stosuje kodowania encji HTML do etykiet pytań bloku Formularz zdefiniowanych przez użytkownika podczas renderowania ich jako nagłówki kolumn w raporcie zgłoszeń formularzy w panelu administracyjnym. Złośliwy edytor może zapisać znaczniki lub skrypt w etykiecie, który następnie wykonuje się w przeglądarce administratora otwierającego raport, powodując trwały XSS.

W Concrete CMS przed 9.5.3 blok Document Library przechowywał identyfikatory zestawów plików przesłane przez fsID[] bez walidacji jako liczby całkowite. Gdy blok był skonfigurowany z setMode ustawionym na any, każdy identyfikator był konkatenowany bezpośrednio do zapytania filtra zestawów plików. Uwierzytelniony użytkownik mógł zapisać składnię SQL w konfiguracji bloku, co prowadziło do trwałego, czasowego ślepego wstrzyknięcia SQL.

Concrete CMS 9.5.2 i wcześniejsze są podatne na trwały DOM-based XSS poprzez pole Caption dla poszczególnych obrazów w bloku Gallery. Dołączony skrypt Magnific Popup ponownie parsuje zdekodowany atrybut caption jako HTML przez jQuery .append() w titleSrc zamiast wstawiać go jako tekst. Użytkownik z uprawnieniami do edycji strony może zapisać caption, który wykona się w przeglądarce każdego odwiedzającego otwierającego lightbox.

Wykryto podatność w pakiecie Go buildah/copier. Gdy pakiet jest używany poza Buildah przez użytkownika innego niż root, spreparowane archiwum tar zawierające złośliwe dowiązania symboliczne może wyjść poza katalog docelowy i utworzyć pliki w nieprzewidzianym miejscu. Sam Buildah stosuje wzmocnienie chroot i nie jest podatny.

Wykryto podatność w bibliotece containers/storage. Spreparowane archiwum tar zawierające złośliwy nagłówek whiteout (np. victim/.wh.) może spowodować zastąpienie katalogu docelowego ekstrakcji dowolnym plikiem podczas przetwarzania przez storage/pkg/archive.UnpackLayer, ApplyLayer lub ApplyUncompressedLayer.

Coder przed wersjami 2.29.19, 2.32.9, 2.33.10 i 2.34.4 pozwala na przekierowanie żądań przez agentConn.apiClient(), który podąża za przekierowaniami i akceptuje hosta z przekierowanego URL, gdy port to 4 (HTTP API agenta workspace). Uwierzytelniony użytkownik kontrolujący zmodyfikowanego agenta workspace i znający UUID innego agenta może przekierować żądania do tego agenta, odczytując lub zapisując pliki jako użytkownik workspace ofiary, a nawet wykonując polecenia. Luka narusza granice workspace i tenanta.

Yeger to monorepo dla pakietów npm w zakresie yeger. Przed wersją 2.8.9 pakiet turbo-graph uruchamia wbudowany serwer Next.js na wszystkich interfejsach, w tym domyślnie 0.0.0.0:29312, a handler GET dla /api/run nie ma uwierzytelniania, autoryzacji, ochrony CSRF ani listy dozwolonych zadań. Handler przekazuje wybrane przez atakującego nazwy zadań do spawn() jako argumenty Turbo CLI. Atakujący z sąsiedniej sieci może wykonać dowolne zadanie zdefiniowane w turbo.json ofiary z uprawnieniami użytkownika OS dewelopera.

W narzędziu Lokka-Microsoft (serwer MCP dla Microsoft 365) w wersjach przed 2.1.2 parametr ścieżki kontrolowany przez użytkownika jest doklejany bezpośrednio do adresu URL management.azure.com. Specjalnie spreparowana ścieżka może zmienić sposób parsowania autorytetu URL i spowodować wysłanie tokenu bearer Azure Resource Manager do niezamierzonego hosta.

Wtyczka @jhb.software/payload-cloudinary-plugin w wersjach od 0.3.0 do 0.4.0, przy włączonej opcji clientUploads, udostępnia endpoint POST /api/cloudinary-generate-signature, który przekazuje parametry kontrolowane przez atakującego bezpośrednio do funkcji podpisywania Cloudinary bez żadnych ograniczeń. Każdy uwierzytelniony użytkownik Payload może uzyskać ważny podpis HMAC-SHA1 dla nieautoryzowanych parametrów, takich jak overwrite, type, notification_url, invalidate, folder czy public_id.

motionEye (mEye) to interfejs online dla programu "motion", czyli systemu monitoringu wizyjnego z detekcją ruchu. W wersjach przed 0.44.0 metoda ActionHandler.post() w motioneye/handlers/action.py nie ma dekoratora BaseHandler.auth(), co pozwala nieuwierzytelnionemu zdalnemu atakującemu wysyłać żądania do /action/<camera_id>/<action>. Endpoint może wywoływać akcje snapshot, record_start i record_stop, a gdy administrator skonfigurował skrypty akcji, także sterowanie PTZ, akcje alarmowe, oświetleniowe i inne predefiniowane polecenia; skonfigurowane zdalne kamery motionEye mogą umożliwić żądania po stronie serwera do zdalnej usługi kamery. Problem naprawiono w wersji 0.44.0.

Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0, przy domyślnej konfiguracji $wgEmbedVideoRequireConsent, umieszcza JSON w atrybucie data-mw-iframeconfig bez bezpiecznego escapowania apostrofów. Identyfikatory archiveorg oraz adresy URL wistia i sharepoint kontrolowane przez atakującego mogą spowodować zamknięcie atrybutu i wstrzyknięcie atrybutów obsługi zdarzeń do generowanego elementu figure.

Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0 przekazuje wartość klasy podaną przez użytkownika bezpośrednio do sprintf podczas konstruowania elementu figure. Cudzysłów w wartości klasy może zamknąć atrybut class i wstrzyknąć dowolne atrybuty HTML lub znaczniki do renderowanej strony.

Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0 interpoluje nazwę nieznanej usługi kontrolowaną przez atakującego do tekstu wyjątku, a następnie zwraca ten tekst jako HTML bez neutralizacji. Zarówno funkcja parsera #ev, jak i formularz evl mogą osiągnąć tę ścieżkę błędu.