Katalog podatności CVE

W oprogramowaniu do zarządzania urządzeniami Fleet, przed wersją 4.82.0, występuje podatność w procesie rejestracji MDM dla systemu Windows, która pozwala na akceptację tokenów uwierzytelniających z dowolnego dzierżawcy Azure AD. Problem wynika z braku egzekwowania wymagań dotyczących pól `aud` i `iss` w podpisach JWT.

Podatność w Crabbox przed wersją 0.12.0 umożliwia ominięcie uwierzytelniania. Osoby posiadające token współdzielony mogą podszyć się pod innych właścicieli lub organizacje poprzez fałszowanie nagłówków tożsamości.

SiYuan to system zarządzania wiedzą, który przed wersją 3.7.0 miał luki w zabezpieczeniach związane z 8 nieograniczonymi API, które mogły modyfikować konfigurację i indeks SQL. Użytkownicy z odpowiednim tokenem JWT mogli uzyskać dostęp do tych API, co prowadziło do nieautoryzowanych zmian w stanie serwera.

Live Helper Chat to aplikacja typu open-source, która umożliwia wsparcie na żywo na stronach internetowych. W wersji 4.84v, punkt końcowy aktualizacji czatu REST API pozwala użytkownikowi z uprawnieniami lhchat/use na aktualizację czatu w dziale, do którego nie ma dostępu.

SiYuan to system zarządzania wiedzą, który w wersjach od 2.1.12 do przed 3.7.0 renderuje metadane autorów pakietów z publicznego feedu bazaru w HTML bez odpowiedniego zabezpieczenia. W aplikacji desktopowej prowadzi to do przechowywanego XSS, co umożliwia wykonanie kodu na hoście.

W Note Mark od wersji 0.13.0 do przed 0.19.4 nazwa pliku zasobu przesyłanego przez uwierzytelnionego użytkownika (nagłówek X-Name) jest zapisywana w bazie bez walidacji, co pozwala na sekwencje przejścia katalogów. Podczas eksportu CLI nazwa ta trafia do `filepath.Join()` i `os.Create()`, umożliwiając zapis plików w dowolnych lokalizacjach w systemie plików.

Strapi to otwartoźródłowy system zarządzania treścią, który w wersjach od 4.0.0 do przed 5.37.0 nie wystarczająco sanitizował parametry zapytań przy filtrowaniu treści przez pola relacyjne. Atakujący bez uwierzytelnienia mógł wykorzystać parametr zapytania `where`, aby przeprowadzić atak boolean-oracle na prywatnych polach w tabeli `admin_users`, co umożliwiało przejęcie konta administratora.

W Fleet przed wersją 4.81.0 punkt końcowy Windows MDM mógł przetwarzać żądania bez prawidłowej walidacji certyfikatu klienta (mTLS). Atakujący znający identyfikator zarejestrowanego urządzenia mógł podszyć się pod nie i odebrać poufne dane konfiguracyjne, takie jak konfiguracja Wi-Fi, VPN lub certyfikaty.

W Strapi (gałęzie 4.x przed 4.26.1 i 5.x przed 5.33.2) uwierzytelniony administrator mógł wstrzyknąć dowolne polecenia SQL poprzez atrybut `column.defaultTo` w API Content-Type Builder, ustawiając go jako krotkę `[wartość, { isRaw: true }]`. W zależności od silnika bazy danych umożliwiało to odczyt plików, atak DoS lub zdalne wykonanie kodu na serwerze bazy danych.

Podatność CVE-2026-6332 dotyczy przechowywania wrażliwych informacji w postaci niezaszyfrowanej, co może prowadzić do ujawnienia chronionego kodu źródłowego. Autoryzowany atakujący, mając dostęp do kodu źródłowego, może go edytować lub kompilować.

Mongoose, narzędzie do modelowania obiektów MongoDB, przed wersjami 6.13.9, 7.8.9, 8.22.1 i 9.1.6 miało podatność, która pozwalała na obejście mechanizmu sanitizacji zapytań sanitizeFilter za pomocą operatora $nor. Operator ten nie był odpowiednio sanitizowany, co umożliwiało wstrzykiwanie złośliwych operatorów.

W systemie automatyzacji bibliotek firmy Yordam występuje podatność na wstrzykiwanie kodu, która umożliwia zdalne włączenie kodu. Problem dotyczy wersji od 19.5 do przed 22.1.

Podatność związana z nieprawidłową autoryzacją w systemie automatyzacji bibliotek Yordam umożliwia wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Dotyczy to wersji od 19.5 do przed 22.1.

W diffusers przed wersją 0.38.0 funkcja `_resolve_custom_pipeline_and_cls` domyślnie interpoluje `custom_pipeline` jako `None.py`, co pozwala na pobranie i wykonanie złośliwego pliku z repozytorium Hugging Face Hub podczas standardowego wywołania `from_pretrained()`. Mechanizm omija zabezpieczenie `trust_remote_code=True`, umożliwiając ciche zdalne wykonanie kodu.

Valtimo to platforma automatyzacji procesów biznesowych typu open-source. W wersjach od 12.4.0 do 12.33.0 oraz 13.26.0, LoggingRestClientCustomizer w module web automatycznie przechwytuje wszystkie wychodzące wywołania HTTP i loguje pełne treści żądań oraz odpowiedzi, co może prowadzić do ujawnienia wrażliwych informacji.

Biblioteka Diffusers przed wersją 0.38.0 zawiera podatność umożliwiającą ominięcie zabezpieczenia trust_remote_code. Atakujący może zdalnie wykonać dowolny kod, nawet gdy parametr trust_remote_code jest ustawiony na False lub pominięty. Problem wynika z błędnej implementacji mechanizmu weryfikacji w funkcji download(), który można ominąć przez alternatywne ścieżki kodu.

Katalyst Koi, framework do budowania funkcji administracyjnych w Rails, miał problem z nieważnością ciasteczek sesyjnych administratora po wylogowaniu. Atakujący z dostępem do ważnego ciasteczka sesyjnego mógł kontynuować dostęp do funkcji administracyjnych po wylogowaniu, aż do wygaśnięcia ciasteczka lub rotacji sekretów sesji.

Podatność w interfejsie webowym Cisco Catalyst SD-WAN Manager (dawniej SD-WAN vManage) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu odczyt dowolnych plików przechowywanych w systemie. Luka wynika z nieprawidłowego przetwarzania encji zewnętrznych XML (XXE) podczas parsowania pliku XML.

Aegra, będąca zamiennikiem dla LangSmith Deployments, przed wersją 0.9.7 była podatna na atak typu cross-tenant IDOR. Umożliwia to uwierzytelnionemu atakującemu, posiadającemu identyfikator wątku innego użytkownika, wykonywanie operacji na tym wątku oraz dostęp do pełnego stanu kontrolnego użytkownika.