Katalog podatności CVE

SOGo w wersjach przed 5.12.7, przy użyciu PostgreSQL lub MariaDB oraz przechowywaniu haseł w postaci niezaszyfrowanej, umożliwia atak typu SQL injection. Problem dotyczy zmiennej c_password = '%@' w funkcji changePasswordForLogin.

SOGo w wersjach przed 5.12.7, przy użyciu PostgreSQL, umożliwia wstrzyknięcie SQL.

Yubico webauthn-server-core w wersji 2.8.0 i wcześniejszych niepoprawnie sprawdza wartość zwracaną funkcji w procesie drugiego czynnika, co prowadzi do możliwości podszywania się.

Nieprawidłowe sprawdzanie uprawnień członków zespołu umożliwia członkowi zespołu eskalację uprawnień do konta właściciela zespołu.

Niewystarczająca sanitizacja zapytań SQL w skrypcie narzędzia `sqloptimizer` umożliwia ataki typu SQL Injection w imieniu użytkownika root, jeśli logowanie powolnych zapytań jest włączone.

Podatność CVE-2026-44478 w hoppscotch umożliwia nieautoryzowanym użytkownikom dostęp do sekretów infrastruktury w formie niezaszyfrowanej poprzez endpoint GET /v1/onboarding/config, gdy ONBOARDING_RECOVERY_TOKEN jest pustym ciągiem. Problem ten został rozwiązany w wersji 2026.4.0.

W gitoxide przed wersją 0.21.1 złośliwe drzewo git może podczas checkoutu spowodować zapisanie dowolnego dowiązania symbolicznego w dowolnym katalogu z prawem zapisu użytkownika. Luka wynika z obejścia sprawdzenia `symlink_metadata()` i usuwania kolizji dla buforowanego prefiksu ścieżki w `gix_fs::Stack`.

ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.

ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 15.104.3 i 16.14.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.

PlaywrightCapture przed wersją 1.39.6 nie ograniczał wystarczająco nawigacji i żądań zasobów inicjowanych przez renderowane strony. Atakująca strona mogła wykorzystać mechanizmy przekierowania, aby otworzyć adresy URL typu file:// lub żądać zasobów z prywatnych adresów IP.

CVAT to narzędzie do interaktywnej adnotacji wideo i obrazów. W wersjach od 2.5.0 do 2.63.0, atakujący mogą dodać złośliwy kod JavaScript do przewodnika adnotacji, który następnie zostanie uruchomiony w przeglądarkach użytkowników otwierających ten przewodnik.

SQLBot przed wersją 1.8.0 zawiera podatność typu Cross-Workspace IDOR oraz obejście autoryzacji w punktach końcowych /api/v1/datasource/exportDsSchema oraz /api/v1/datasource/uploadDsSchema. Atakujący może uzyskać dostęp do schematów baz danych i źródeł danych należących do innych najemców/obszarów roboczych.

Nieprawidłowe oczyszczanie parametru zapytania `status` w punkcie końcowym `/unprotected/nova_error` umożliwia nieautoryzowanemu atakującemu wstrzyknięcie dowolnego nagłówka HTTP do odpowiedzi.

W systemie klastra DNS wyłączona jest weryfikacja SSL, co może umożliwić złośliwemu serwerowi przeprowadzenie ataku typu man-in-the-middle i przechwycenie danych uwierzytelniających.

Nieprawidłowe zarządzanie uprawnieniami oraz niewystarczające filtrowanie ścieżek umożliwiają odczyt dowolnych plików na serwerze za pośrednictwem punktów końcowych pobierania załączników cpdavd.

CubeCart to rozwiązanie oprogramowania e-commerce, które przed wersją 6.7.3 pozwalało administratorom z uprawnieniami do edytowania dokumentów na zapisanie surowego kodu PHP w Edytorze Faktur. Po kliknięciu przez dowolnego administratora opcji Drukuj, szablon jest zapisywany w pliku, który może być wykonany przez nieautoryzowanych użytkowników.

Podatność masowego przypisania w Quark Drive przed wersją 0.8.5 w punkcie końcowym POST /update umożliwia uwierzytelnionym atakującym nadpisanie danych uwierzytelniających administratora poprzez przesłanie dowolnego obiektu webui do słownika config_data. Atakujący mogą wykorzystać niewystarczające filtrowanie listy blokad, aby trwale zastąpić przechowywane dane logowania, zablokować legalnych administratorów i uzyskać trwały dostęp do wszystkich skonfigurowanych zadań, tokenów chmurowych i usług powiadomień.

CubeCart przed wersją 6.7.2 ma lukę, która pozwala atakującemu na przejęcie konta użytkownika poprzez manipulację linkami w e-mailach. Atakujący może wykorzystać nagłówek Host, aby wysłać złośliwy link do ofiary, co prowadzi do przejęcia konta.

EcclesiaCRM w wersji 8.0.0 i wcześniejszych ma lukę w funkcji ValidateInput(), która przekazuje parametry POST dostarczone przez użytkownika bez odpowiedniej sanitizacji do zapytań SQL. To umożliwia ataki typu SQL injection poprzez parametry zapytań z użyciem niestandardowych typów walidacji.

MISP to platforma do zarządzania informacjami o zagrożeniach. W wersjach przed 2.5.37 występowała podatność związana z niewłaściwą kontrolą dostępu w funkcji resetowania kluczy uwierzytelniających, co pozwalało administratorom organizacji na resetowanie kluczy kont administratorów witryny w tej samej organizacji.