Katalog podatności CVE

Domyślnie Payara Server nie ogranicza liczby nieudanych prób logowania, co może czynić go podatnym na ataki brute force na logowanie. W celu ograniczenia tego ryzyka Payara Server zawiera wbudowaną automatyczną ochronę przed atakami.

W OpenBankProject OBP-API do wersji 1.10.1 wykryto podatność w funkcji KryoInjection.invert w pliku obp-api/src/main/scala/code/api/cache/Redis.scala w komponencie Kryo Handler. Manipulacja ta prowadzi do deserializacji. Atak można przeprowadzić zdalnie, a jego złożoność jest wysoka. Wykorzystanie podatności określono jako trudne. Exploit został ujawniony publicznie i może być użyty. Projekt został poinformowany o problemie wcześnie poprzez zgłoszenie, ale nie odpowiedział.

W OpenClaw ClawScan do wersji 0.1.6 wykryto błąd w nieznanej funkcji pliku internal/runner/static_scanner.go komponentu Static Scanner. Manipulacja powoduje niepełne porównanie z brakującymi czynnikami, a atak można przeprowadzić lokalnie. Exploit został publicznie ujawniony i może być użyty.

W OpenClaw ClawScan do wersji 0.1.6 wykryto podatność w funkcji IsBinaryFile pliku internal/runner/static_scanner.go komponentu File Classifier. Manipulacja prowadzi do konfliktu interpretacji, a atak wymaga dostępu lokalnego. Exploit jest publicznie znany i może być użyty.

Wtyczka MotoPress Hotel Booking dla WordPressa w wersjach do 6.2.4 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'id' obiektu zdarzenia Stripe Webhook z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Premium odbiornik webhooków Stripe weryfikuje podpis tylko wtedy, gdy skonfigurowano opcjonalny sekret podpisywania Stripe; ponieważ domyślnie jest on pusty, sfałszowany webhook jest akceptowany bez weryfikacji kryptograficznej, a kontrolowane przez atakującego pole 'id' jest zapisywane bez ucieczki w dzienniku płatności i później wyświetlane bez sanityzacji, gdy administrator przegląda płatność.

NGINX Plus i NGINX Open Source mają podatność w module ngx_http_v3_module. W przypadku korzystania z HTTP/3 z OpenSSL w wersjach <= 3.5.0 w pewnych konfiguracjach może wystąpić ograniczone przepełnienie bufora sterty podczas przetwarzania uzgadniania TLS. Może to wystąpić w sposób niedeterministyczny, poza kontrolą atakującego. Może to spowodować przepełnienie bufora sterty w procesie roboczym NGINX prowadzące do restartu i/lub ograniczonego uszkodzenia danych.

Podatność typu DoS w zintegrowanym serwerze WWW urządzeń Hirschmann HiOS Switch Platform. Zdalny, nieuwierzytelniony atakujący może wysłać specjalnie spreparowane żądanie HTTP(S) do konkretnego punktu końcowego, co powoduje nieprawidłowe przetworzenie, nieplanowany restart urządzenia i tymczasową odmowę usługi. Problem został naprawiony w wersjach 07.1.12, 08.7.10, 09.0.13, 09.3.03, 10.3.08 oraz 10.5.00.

1024-lab SmartAdmin w wersji 3.30.0 zawiera podatność typu stored cross-site scripting w funkcji przesyłania plików. Pozwala to zdalnemu atakującemu na wykonanie dowolnego kodu.

SmartAdmin w wersji 3.30.0 zawiera błąd autoryzacji w punkcie końcowym zapytań konfiguracyjnych. Pozwala to zdalnemu atakującemu na eskalację uprawnień.

Problem w RuoYi-Vue-Plus 6.0.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent FlwTaskController.java oraz elementy FlwTaskServiceImpl.completeTask, CompleteExecuteComponent.process, Warm-Flow TaskService.skip, POST /workflow/task/completeTask.

W urządzeniu Tenda Technology Co., Ltd NVR_4H CH3 v2.1 V27.5.58.6 odkryto wbudowany na stałe klucz kryptograficzny. Może to pozwolić atakującemu na odszyfrowanie lub podszycie się pod komunikację chronioną tym kluczem.

Uwierzytelniona podatność Server-Side Request Forgery (SSRF) w komponencie /adminapi/file/online_upload w CRMEB v6.0.0 pozwala atakującym na skanowanie zasobów wewnętrznych poprzez spreparowane żądanie POST.

Kaiten w wersjach od 57.192.20 do przed 57.214.26 jest podatny na wstrzykiwanie SQL. Dynamiczne zapytania SQL są generowane bez wymaganej walidacji danych oraz bez użycia sparametryzowanych zapytań lub procedur składowanych.

Dell SmartFabric OS10 w wersjach przed 10.6.1.3 zawiera podatność typu pobieranie kodu bez weryfikacji integralności. Uprzywilejowany atakujący z dostępem zdalnym może ją wykorzystać do wykonania dowolnego kodu.

Dell SmartFabric OS10 w wersjach przed 10.6.1.3 zawiera podatność typu Session Fixation. Nieuwierzytelniony atakujący z dostępem zdalnym może ją wykorzystać do kradzieży sesji.

Woodpecker, silnik CI/CD, w wersjach od 1.0.0 do 3.16.0 pozwala użytkownikowi z uprawnieniem Push na podłączonym repozytorium uruchamiać kroki potoku w dowolnym ServiceAccount w przestrzeni nazw potoku bez autoryzacji administratora. Umożliwia to dziedziczenie uprawnień RBAC tego konta i potencjalne przejęcie klastra. Problem naprawiono w wersji 3.16.0.

MySQL MCP Server przed wersją 0.4.2 przy ustawieniu MCP_TRANSPORT=sse tworzy SseServerTransport bez ustawień bezpieczeństwa i ochrony przed DNS rebinding, a trasy /, /sse i /messages/ nie mają uwierzytelniania i domyślnie nasłuchują na 0.0.0.0. Atakujący z sieci może bezpośrednio wywołać execute_sql lub wykorzystać DNS rebinding, aby uzyskać nieautoryzowany dostęp do bazy danych. Problem naprawiono w wersji 0.4.2.

Podatność w CodeRAG w wersjach przed 1.3.1. Domyślny przepływ sync_dependencies dla ścieżki zindeksowanej wywołuje _sync_gradle, który preferuje repozytorium gradlew lub gradlew.bat i przekazuje je bezpośrednio do asyncio.create_subprocess_exec, bez walidacji zawartości pliku. Ofiara indeksująca kontrolowane przez atakującego repozytorium wykonuje kod atakującego z uprawnieniami systemowymi, co może prowadzić do ujawnienia, modyfikacji, trwałości lub odmowy usługi.

Outerbase Studio to lekkie, przeglądarkowe GUI baz danych obsługujące PostgreSQL, MySQL i SQLite. W wersji 0.10.2 i wcześniejszych komponent TextComponent w pliku src/components/chart/index.tsx renderuje nieoczyszczoną zawartość widżetu tekstowego przez dangerouslySetInnerHTML, co pozwala na wykonanie wstrzykniętego znacznika z obsługą zdarzeń skryptowych, gdy widżet jest wyświetlany. Outerbase Cloud i usługi backendowe zostały wycofane w 2025 roku, a obecna architektura korzysta z lokalnego przechowywania pulpitu w przeglądarce, więc wpływ ogranicza się do lokalnego self-XSS. Kradzież tokenów uwierzytelniających, przejęcie konta i dostęp do backendowej bazy danych nie mają zastosowania w obecnej architekturze. Brak dostępnej poprawionej wersji na dzień przeglądu.

W platformie Hydro od wersji 4.10.4 do 5.0.2 logika odtwarzania sesji w packages/hydrooj/src/service/layers/base.ts tworzy nowy token sesji bez usuwania poprzedniego z serwerowego magazynu tokenów. W efekcie stary plik cookie sid pozostaje ważny po wylogowaniu lub odnowieniu sesji. Atakujący posiadający stary, ważny plik cookie ofiary może go odtworzyć bez znajomości danych logowania i bez interakcji ofiary, przejmując konto.