Katalog podatności CVE

Podatność w WebPros Plesk przed wersją 18.0.78.4 umożliwia niskouprzywilejowanemu, uwierzytelnionemu klientowi przeglądanie domen, których nie jest właścicielem. Dzieje się tak z powodu nieprawidłowej autoryzacji w API XML-RPC, gdzie własność jest wymuszana tylko dla niektórych filtrów wyszukiwania, a walidacja schematu jest pomijana dla starszych wersji protokołu.

Komponent openmemory/api w projekcie mem0 zawiera lukę umożliwiającą nieuwierzytelnionym atakującym odczyt, zapis i usuwanie dowolnych pamięci użytkowników poprzez dostęp do routerów API zarejestrowanych bez middleware uwierzytelniającego. Atakujący mogą podać dowolny parametr user_id lub bezpośrednio uzyskać dostęp do punktów końcowych pobierania pamięci, ujawniając prywatne treści, a także wywołać punkty końcowe pauzy z parametrem global_pause=true, powodując odmowę usługi dla wszystkich użytkowników.

Smartwatch Fire-Boltt FB BGS001 z firmware MOY-JS14-2.0.4 ma podatność polegającą na niewłaściwym uwierzytelnianiu. Urządzenie akceptuje komendy GATT Write Request bez wystarczającego uwierzytelnienia lub silnej walidacji sesji. W określonych warunkach możliwe jest odtworzenie wcześniej przechwyconych pakietów BLE z pobliskiego urządzenia w celu wywołania funkcji na smartwatchu.

Kamera bezpieczeństwa Trueview T18161-AF w wersji oprogramowania 4.9.60.0 zawiera podatność umożliwiającą ominięcie uwierzytelniania. Problem wynika z nieprawidłowej walidacji hasła oraz obecności zakodowanych na stałe poświadczeń w oprogramowaniu sprzętowym.

Podatność w bibliotece DBI dla języka Perl przed wersją 1.650 powoduje odczyt o jeden bajt poza dozwolonym obszarem pamięci podczas przetwarzania początkowego komentarza SQL w metodzie preparse. Problem występuje przy usuwaniu komentarza na początku zapytania SQL.

Podatność w bibliotece DBI dla Perla przed wersją 1.650 powoduje przepełnienie sterty podczas wstępnego parsowania zapytań SQL zawierających ekstremalnie dużą liczbę placeholderów. Poprawka dla CVE-2026-10879 nie alokowała wystarczającej ilości pamięci do obsługi około 1,2 miliona placeholderów. Wersja 1.650 wprowadza twardy limit 99 999 placeholderów.

Podatność w mem0 ujawnia nieuwierzytelnione endpointy API konfiguracji, które udostępniają klucze API LLM w postaci jawnego tekstu oraz umożliwiają fałszowanie żądań po stronie serwera (SSRF) poprzez kontrolowany przez atakującego parametr ollama_base_url. Nieuwierzytelniony atakujący może pobrać przechowywane sekrety, takie jak klucze API OpenAI, za pomocą żądania GET /api/v1/config/ lub przeprowadzić atak SSRF, ustawiając ollama_base_url na adresy wewnętrzne, np. cloud IMDS, za pomocą żądania PUT /api/v1/config/mem0/llm.

W Coder przed wersjami 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2 i 2.33.3 funkcja `azureidentity.Validate()` nie weryfikuje podpisu PKCS#7, a jedynie sprawdza, czy certyfikat podpisującego pochodzi od zaufanego urzędu certyfikacji Azure. Atakujący może osadzić prawdziwy certyfikat Azure wraz z dowolną treścią, np. `{"vmId":"<target>"}`, a sfałszowane `vmId` zostanie zaakceptowane, co umożliwi przejęcie tokena sesji agenta ofiary.

Cognee przed wersją 1.2.0 zawiera podatność polegającą na niewłaściwej kontroli dostępu, która umożliwia nieuwierzytelnionym atakującym nadpisanie globalnej konfiguracji dostawcy LLM poprzez samodzielne zarejestrowanie konta i wywołanie endpointu ustawień, który nie wykonuje żadnej kontroli administratora lub superużytkownika. Atakujący mogą przekierować wszystkie operacje LLM w całej instancji na kontrolowany przez siebie endpoint, wykorzystując globalny singletonowy cache konfiguracji, co umożliwia eksfiltrację promptów, przesłanych dokumentów, wyodrębnionych encji oraz treści grafu wiedzy od wszystkich użytkowników.

9Router przed wersją 0.4.44 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w nieuwierzytelnionym punkcie końcowym POST /api/tunnel/tailscale-install. Pole sudoPassword z ciała żądania jest przekazywane do standardowego wejścia procesu 'sudo -S sh', co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemowych.

Podatność w Esri Portal for ArcGIS w wersjach 12.1 i wcześniejszych na Windows, Linux i Kubernetes umożliwia zdalnemu, nieuwierzytelnionemu atakującemu dostęp do niezabezpieczonego API z powodu braku uwierzytelnienia dla krytycznej funkcji.

W systemie Dell PowerProtect Data Domain wykryto podatność związaną z nieprawidłowym uwierzytelnianiem. Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu. Podatność ma krytyczny poziom ważności, ponieważ umożliwia przejęcie pełnej kontroli nad systemem.

W systemie Dell PowerProtect Data Domain wykryto podatność polegającą na nieprawidłowym ograniczeniu ścieżki do zastrzeżonego katalogu (Path Traversal). Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę lukę, uzyskując nieautoryzowany dostęp do systemu. Podatność ma krytyczny poziom ważności, ponieważ umożliwia przejęcie pełnej kontroli nad systemem.

Podatność w Module::Load dla Perla przed wersją 0.22 pozwala na ładowanie dowolnych modułów spoza ścieżki @INC. Nazwy modułów zaczynające się od "::" mogą być użyte do wskazania dowolnej ścieżki modułu. Atakujący mogący wpływać na nazwy modułów przekazywane do funkcji load mogą wykorzystać ten błąd do wykonania dowolnego kodu.

Podatność w metodzie `BaseSerialization.deserialize()` umożliwia nieograniczone wywołanie `import_string()` na ścieżkach klas kontrolowanych przez atakującego. Gdy Scheduler lub API Server ładuje serializowany DAG, autor DAG-a może osadzić złośliwy trigger, co prowadzi do zdalnego wykonania kodu na tych procesach, naruszając granicę bezpieczeństwa Airflow.

Wtyczki WordPress DoLeads Integrator i wp2epub (wersje do 0.65) umożliwiają zdalne wykonanie kodu (RCE) po ich zainstalowaniu na blogu. Podatność wynika z możliwości instalowania rozszerzeń z wordpress.org przez nieautoryzowanych użytkowników.

Wtyczka WPFunnels dla WordPressa w wersjach do 3.12.7 zawiera podatność na zdalne wykonanie kodu (RCE) przez parametr 'postData'. Atakujący bez uwierzytelnienia może zapisać złośliwe dane do pliku .log, który następnie jest dołączany przez funkcję include_once, co umożliwia wykonanie kodu na serwerze. Warunkiem jest włączenie logowania w ustawieniach wtyczki oraz otwarcie skażonego pliku przez administratora w interfejsie logów.

Wtyczka uncanny-automator-pro dla WordPress przed wersją 7.3.0.6 została rozpowszechniona ze złośliwym kodem po kompromitacji infrastruktury aktualizacji/dystrybucji dostawcy. Wstrzyknięte backdoor umożliwia nieuwierzytelnionym atakującym uzyskanie sesji administratora na podatnych stronach oraz wysyłanie tajnych kluczy i danych administratora do serwerów kontrolowanych przez atakującego.

W Coolify przed wersją 4.0.0-beta.471, trasy bootstrap websocket terminala sprawdzają tylko uwierzytelnienie, ale nie egzekwują autoryzacji terminala. Umożliwia to członkowi zespołu z niskimi uprawnieniami połączenie się z trasami terminala i wykonywanie poleceń na serwerach zespołu.

W Coolify przed wersją 4.0.0-beta.471, trasy bootstrap WebSocket terminala nie wymuszały oczekiwanego middleware autoryzacji, co pozwalało uwierzytelnionemu użytkownikowi na dostęp do funkcji terminala dla zasobów spoza autoryzowanego zakresu i potencjalne wykonanie poleceń.