Katalog podatności CVE

W module wyświetlania (display) występuje możliwość zapisu poza zakresem pamięci z powodu braku sprawdzenia granic. Luka może prowadzić do lokalnej eskalacji uprawnień, jeśli atakujący uzyskał już uprawnienia systemowe. Do wykorzystania nie jest wymagana interakcja użytkownika.

Wtyczka Download Manager dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 3.3.40 włącznie. Problem wynika z niewłaściwej weryfikacji tożsamości użytkownika przed aktualizacją jego danych, takich jak hasło.

iccDEV to zestaw bibliotek i narzędzi do pracy z profilami kolorów ICC. Wersje 2.3.1 i wcześniejsze zawierają nieskończoną pętlę w funkcji CalcProfileID w pliku IccProfile.cpp. Problem został naprawiony w wersji 2.3.1.1.

W projekcie Online Music Site w wersji 1.0 znaleziono lukę, która dotyczy nieznanej części pliku /Administrator/PHP/AdminViewSongs.php. Manipulacja argumentem ID może prowadzić do wstrzyknięcia SQL.

AIOHTTP, framework HTTP dla asyncio i Pythona, w wersjach 3.13.2 i niższych zawiera podatność umożliwiającą niekontrolowane zapełnienie pamięci serwera podczas przetwarzania specjalnie spreparowanego żądania. Jeśli aplikacja używa metody Request.post() w handlerze, atakujący może zamrozić serwer poprzez wyczerpanie pamięci. Problem został naprawiony w wersji 3.13.3.

AIOHTTP w wersjach 3.13.2 i niższych zawiera podatność na nieskończoną pętlę, gdy asercje są pomijane (np. przy użyciu optymalizacji -O lub PYTHONOPTIMIZE=1). Atakujący może wykorzystać specjalnie spreparowaną wiadomość POST, aby wywołać atak DoS, jeśli aplikacja używa metody Request.post(). Problem został naprawiony w wersji 3.13.3.

Wykryto podatność w systemie Online Music Site w wersji 1.0, która dotyczy nieznanej funkcjonalności pliku /FrontEnd/Albums.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

Podatność w frameworku AIOHTTP w wersjach 3.13.2 i niższych umożliwia atak typu zip bomb, który po dekompresji może doprowadzić do wyczerpania pamięci hosta i wykonania ataku DoS.

Frappe, framework do tworzenia aplikacji webowych, zawiera podatność na ataki typu path traversal w wersjach 14.99.5 i starszych oraz 15.0.0 do 15.80.1. Brak odpowiedniej sanityzacji niektórych żądań umożliwia zdalne odczytanie dowolnych plików z serwera. Problem został naprawiony w wersjach 14.99.6 i 15.88.1.

Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) po uwierzytelnieniu, poprzez złośliwie załączony Behavior. Atak wymaga dostępu administratora do panelu sterowania Craft.

Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 jest podatny na zdalne wykonanie kodu (RCE) poprzez atak SSTI w silniku szablonów Twig. Luka wymaga uwierzytelnienia i dostępu administratora do panelu sterowania (przy włączonej opcji allowAdminChanges) lub konta niebędącego administratorem z dostępem do narzędzia System Messages. Atakujący może wykorzystać filtr `map` w polach tekstowych akceptujących kod Twig, co prowadzi do wykonania złośliwego kodu.

Biblioteka jsPDF w wersji przed 4.0.0 zawiera podatność na lokalne dołączanie plików i przechodzenie po ścieżkach. Atakujący może wykorzystać metodę loadFile, a także addImage, html i addFont, aby odczytać dowolne pliki z systemu plików serwera. Treść plików jest następnie umieszczana w generowanych dokumentach PDF.

W wersjach przed 6.1.1 biblioteka vega-functions, która implementuje funkcje dla języka wyrażeń Vega, pozwalała na wykorzystanie złośliwego kodu JavaScript (XSS) poprzez wewnętrzną funkcję, która nie jest częścią publicznego API. Problem został naprawiony w wersji 6.1.1.

Podatność w bibliotece Vega przed wersjami 6.1.2 i 5.6.3 umożliwia wykonanie dowolnego kodu JavaScript (DOM XSS) w aplikacjach, które udostępniają obiekty Vega i View w globalnym zakresie oraz pozwalają na definiowanie specyfikacji Vega przez użytkownika. Atak wymaga interakcji użytkownika, np. otwarcia złośliwej specyfikacji.

Spinnaker, jako platforma do ciągłego dostarczania, jest podatny na atak typu server-side request forgery w wersjach przed 2025.1.6, 2025.2.3 i 2025.3.0. Atak ten umożliwia użytkownikom pobieranie danych z zdalnych adresów URL, które mogą być następnie wstrzykiwane do potoków Spinnakera.

Podatność ReDoS w bibliotece MCP TypeScript SDK od Anthropic (wersje do 1.25.1 włącznie) występuje w klasie UriTemplate podczas przetwarzania wzorców tablicowych RFC 6570. Dynamicznie generowane wyrażenie regularne zawiera zagnieżdżone kwantyfikatory, które mogą prowadzić do katastroficznego cofania się na specjalnie spreparowanych danych wejściowych, powodując nadmierne zużycie CPU.

Wykryto podatność bezpieczeństwa w projekcie Online Music Site w wersji 1.0. Problem dotyczy pliku /login.php, gdzie manipulacja argumentami username/password prowadzi do wstrzykiwania SQL.

Coolify to narzędzie open-source do zarządzania serwerami, aplikacjami i bazami danych. W wersjach do v4.0.0-beta.434 istnieje podatność, która pozwala atakującemu zainicjować reset hasła ofiary i zmodyfikować nagłówek Host w żądaniu na złośliwą wartość. Ofiara otrzyma e-mail z linkiem do złośliwego hosta, a po kliknięciu token resetu zostanie wysłany na serwer atakującego, co umożliwia przejęcie konta.

Coolify to narzędzie typu open-source do samodzielnego zarządzania serwerami, aplikacjami i bazami danych. W wersjach do v4.0.0-beta.434 włącznie, w polach źródła git zasobu występuje podatność na wstrzyknięcie poleceń, umożliwiająca użytkownikowi z niskimi uprawnieniami (członek) wykonanie poleceń systemowych jako root na instancji Coolify. Na dzień publikacji nie jest jasne, czy dostępna jest poprawka.

Coolify to narzędzie open-source do zarządzania serwerami, aplikacjami i bazami danych. W wersjach do v4.0.0-beta.434 włącznie, użytkownik z niskimi uprawnieniami (członek) może zobaczyć i użyć linków zaproszeniowych wysłanych do administratora. Jeśli użyje linku przed uprawnionym odbiorcą, może zalogować się jako administrator, co prowadzi do eskalacji uprawnień.