Katalog podatności CVE

W Apache Storm przed wersją 3.1.0 operacja rebalance nie ponownie weryfikuje mapy blobstore względem uprawnień, a także listBlobs nie sprawdza autoryzacji, co pozwala uprawnionemu użytkownikowi na dostęp do niedozwolonych blobów i ujawnienie metadanych.

W komponencie SimpleACLAuthorizer w Apache Storm autoryzacja kończyła się wcześnie, gdy lista nimbus.users była pusta, pomijając sprawdzanie nimbus.groups. W efekcie konfiguracja ograniczająca dostęp wyłącznie przez grupy nie działała i każdy uwierzytelniony użytkownik mógł wykonywać wszystkie operacje na poziomie użytkownika, w tym submitTopology, beginFileUpload i getNimbusConf. Problem naprawiono w wersji 3.1.0.

W podatności CVE-2026-82430 w Apache Storm program setuid-root `worker-launcher` najpierw zmienia właściciela całego katalogu workera na niezaufanego użytkownika topologii, a dopiero potem odczytuje plik poleceń zapisany w tym katalogu. Plik jest otwierany bez flagi `O_NOFOLLOW` i bez ponownej weryfikacji właściciela, więc w oknie między zmianą właściciela a odczytem najemca może podmienić jego zawartość. W ścieżce Docker podmienione polecenie jest wykonywane z rzeczywistym uid 0, a w ścieżce OCI możliwe jest bind-mountowanie dowolnych ścieżek hosta z prawem zapisu.

Podatność typu TOCTOU (time-of-check-time-of-use) w binarnym pliku worker-launcher z uprawnieniami setuid-root w Apache Storm. Program podczas przeglądania drzew katalogów roboczych wywołuje lchown i chmod na pełnych ścieżkach, które są ponownie rozwiązywane po klasyfikacji przez FTS. Złośliwy użytkownik topologii może podmienić katalog pośredni na dowiązanie symboliczne i przekierować uprzywilejowaną operację na dowolny plik w systemie.

Podatność w Apache Storm dotyczy funkcji `storm jar --artifacts`, która przechowuje artefakty zależności pod kluczem opartym wyłącznie na współrzędnych Maven, co czyni go przewidywalnym i wspólnym dla wszystkich użytkowników. Jeśli blob już istnieje, jest on cicho ponownie wykorzystywany bez weryfikacji właściciela, co pozwala atakującemu na podstawienie własnych danych, prowadząc do wykonania kodu w topologii innego użytkownika.

Podatność w Apache Storm umożliwia atakującemu wykorzystanie ścieżek względnych (../) w mapie `topology.blobstore.map` do wymuszenia usunięcia i utworzenia dowiązania symbolicznego w dowolnym miejscu systemu plików, działając jako użytkownik nadzorcy (supervisor). Może to prowadzić do rekurencyjnego usuwania danych oraz podmiany dowiązań, co przy uruchamianiu workerów pozwala na wykonanie kodu atakującego w kontekście innego użytkownika systemu, łamiąc izolację między tenantami.

Podatność w Apache Storm pozwala uwierzytelnionemu użytkownikowi z prawami do przesyłania topologii na wskazanie dowolnej ścieżki pliku jako jar topologii, zamiast wymaganego pliku przesłanego przez klienta. Nimbus otwiera tę ścieżkę bez weryfikacji, czy plik został faktycznie przesłany, co umożliwia odczyt plików dostępnych dla użytkownika demona Nimbus.

Skrypt renderowania reklam TripleLift (video-bundle.js) zawiera podatność DOM-based XSS, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w domenie wydawcy poprzez wysyłanie spreparowanych komunikatów postMessage bez walidacji pochodzenia. Atakujący może nakłonić ofiarę do odwiedzenia kontrolowanej strony, która wysyła złośliwe zdarzenia postMessage do strony wydawcy z uruchomionym skryptem reklamowym, umożliwiając przejęcie sesji i nieautoryzowaną manipulację DOM.

Moduł PrestaShop "raty" Alior Bank dla partnerów komercyjnych jest podatny na wstrzyknięcie SQL w metodach hookActionObjectProductUpdateBefore, hookActionObjectCategoryUpdateBefore i hookActionObjectCategoryAddAfter. Moduł wstawia wartości parametrów POST alior_product_promotion, alior_category_promotion i alior_category_enabled bezpośrednio do zapytań SQL UPDATE bez sanityzacji lub walidacji. Atakujący z dostępem do funkcji dodawania/edycji produktów lub kategorii w backoffice PrestaShop może wstrzyknąć dowolny SQL, potencjalnie uzyskując nieautoryzowany dostęp do zawartości bazy danych i jej modyfikację.

W podatnych wersjach Zscaler Client Connector wstępnie zainstalowana aplikacja równorzędna może zniszczyć tunel Zscaler, wymusić wylogowanie użytkownika i przełączać przechwytywanie pakietów.

Podatność na niewłaściwą walidację danych wejściowych w Zscaler Client Connector na Androidzie i ChromeOS pozwala atakującemu potencjalnie obejść mechanizmy kontroli Zscaler.

W systemie PraisonAI przed wersją praisonaiagents 1.6.59 plik src/praisonai-agents/praisonaiagents/tools/email_tools.py interpoluje kontrolowane przez LLM wartości from_addr, subject i query bezpośrednio do kryteriów IMAP SEARCH w cudzysłowach. Osadzone znaki cudzysłowu, ukośnika wstecznego, nowej linii lub null mogą uciec z zamierzonego kryterium i zmienić operacje IMAP, gdy search_emails, reply_email lub archive_email są udostępnione agentowi z skonfigurowanymi poświadczeniami e-mail, umożliwiając dostęp, modyfikację, usunięcie lub zakłócenie połączenia z danymi skrzynki pocztowej.

W bibliotece praisonaiagents przed wersją 1.6.59 funkcja MentionsParser._process_file_mention przyjmuje wartości wzmianek o plikach i w przypadku niepowodzenia rozwiązywania ścieżki względem workspace używa Path(file_path) bez walidacji pod kątem traversal, dowiązań symbolicznych ani granic workspace. Dane wejściowe od użytkowników, botów lub workflow mogą w ten sposób odczytać dowolne pliki dostępne dla procesu, w tym poświadczenia, klucze, pliki środowiskowe, kod źródłowy i konfigurację systemu. Problem naprawiono w wersji 1.6.59.

Przed wersją praisonaiagents 1.6.58 serwer SSE w src/praisonai-agents/praisonaiagents/server/server.py nie sprawdza ServerConfig.auth_token przed obsługą żądań /publish, /events lub /info. Klient sieciowy, który może dotrzeć do serwera, może wysyłać dowolne zdarzenia do podłączonych klientów oraz uzyskać informacje o konfiguracji i liczbie klientów. Problem naprawiono w wersji 1.6.58.

W bibliotece praisonaiagents przed wersją 1.6.58 funkcja SpiderTools._validate_url wywołuje _host_is_blocked, która sprawdza jedynie literalne zapisy nazwy hosta i nie rozwiązuje nazw DNS przed połączeniem w scrape_page, crawl, extract_links, extract_text lub pobieraniem wzmianek URL. Nazwa hosta kontrolowana przez atakującego, która rozwiązuje się na adres loopback, prywatny, link-local lub cloud-metadata, omija politykę SSRF bez wyścigu rebindingowego i może ujawnić agentowi odpowiedzi z sieci wewnętrznej. Problem naprawiono w wersji 1.6.58.

W systemie PraisonAI (wersje przed praisonai 4.6.59 i praisonaiagents 1.6.59) nieuwierzytelniony endpoint POST /api/v1/runs Jobs API przyjmuje kontrolowane przez atakującego pole agent_yaml. Pole approve pozwala oznaczyć execute_command jako zatwierdzone w YAML zanim mechanizm @require_approval sprawdzi krytyczne narzędzia, co umożliwia zdalne wywołanie dowolnych poleceń systemu operacyjnego przez agenta LLM bez poświadczeń i interakcji operatora.

W praisonaiagents przed wersją 1.6.59 funkcje ToolsMCPServer.run_sse i launch_tools_mcp_server nasłuchują na 0.0.0.0 i tworzą trasy /sse oraz /messages/ bez wywoływania dostępnych mechanizmów SecurityConfig dotyczących uwierzytelniania, walidacji pochodzenia i ochrony przed DNS rebinding. Każdy osiągalny klient może wyświetlić i wywołać zarejestrowane narzędzia, a przeglądarka może zaatakować lokalną instancję poprzez DNS rebinding.

Przed wersją praisonaiagents 1.6.59 tryb sandbox w execute_code umożliwia dynamiczne składanie zabronionych nazw dunder oraz pozwala str.format lub str.format_map na rozwiązywanie pól kropkowych przez dostęp do atrybutów na poziomie C, omijając _safe_getattr. Ujawnia to atrybuty klas, kwalifikowane nazwy, klasy bazowe, globals i słowniki obiektów dla kodu sterowanego promptem, gdy zatwierdzenie jest automatycznie udzielane, co daje prymityw odczytu o wysokim wpływie bez pełnego łańcucha wykonania.

Przed wersją praisonaiagents 1.6.59 funkcja SpiderTools.scrape_page sprawdza tylko początkowy adres URL, a requests.Session.get automatycznie podąża za przekierowaniami, więc publicznie wyglądający URL może przekierować na adres pętli zwrotnej, prywatny, link-local lub metadanych bez ponownej walidacji. Treść przekierowanej odpowiedzi jest zwracana przez scrape_page i jej wywołania extract_links, crawl i extract_text, umożliwiając ujawnienie danych z usług, które powinny być zablokowane.

Warunek wyścigu w obsłudze tunelu ZPA w podatnych wersjach Zscaler Client Connector (ZCC) umożliwia uszkodzenie sterty, co prowadzi do odmowy usługi (awaria klienta) i potencjalnie do wykonania dowolnego kodu w kontekście procesu ZCC.