Katalog podatności CVE

W wersjach JetBrains TeamCity przed 2026.1 oraz 2025.11.5, uwierzytelnieni użytkownicy mogli ujawniać API serwera osobom nieuprawnionym.

Podatność w Bitwarden Server przed wersją v2026.4.1 nie wymaga ponownego uwierzytelnienia hasłem głównym podczas pobierania lub rotacji klucza API SCIM organizacji. Umożliwia to uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania SCIM uzyskanie klucza wyłącznie przy użyciu ważnej sesji.

Bitwarden Server przed wersją v2026.4.0 zawiera lukę braku autoryzacji, która umożliwia użytkownikowi usługi dostawcy dodanie dowolnej organizacji do swojego dostawcy za pomocą żądania POST /providers/{providerId}/clients/existing, co prowadzi do przejęcia docelowej organizacji. Instalacje samodzielnie hostowane nie są podatne, ponieważ ten endpoint jest ograniczony do chmury przez atrybut SelfHosted(NotSelfHostedOnly = true).

Aplikacja Open edX Enterprise Service umożliwia korzystanie z funkcji dla przedsiębiorstw na platformie Open edX. W wersjach od 7.0.2 do 7.0.4, punkt końcowy sync_provider_data w SAMLProviderDataViewSet pobiera metadane SAML z URL przechowywanego w SAMLProviderConfig.metadata_source, co może prowadzić do nieautoryzowanych żądań HTTP.

W bibliotece serwera VNC Neat VNC przed wersją 0.9.6 występuje przepełnienie bufora na stosie w obsłudze typu zabezpieczeń RSA-AES. Atakujący zdalny, który ma dostęp do gniazda nasłuchującego VNC, może wysłać spreparowane powitanie, co prowadzi do awarii serwera.

Podatność w platformie Open edX umożliwia uwierzytelnionym użytkownikom z uprawnieniami Enterprise Admin przesyłanie dowolnego adresu URL przez parametr metadata_url. Adres ten jest przekazywany bez walidacji, co pozwala atakującemu na wymuszenie serwera do wykonywania żądań HTTP do wewnętrznych usług sieciowych lub złośliwych punktów końcowych.

Network-AI to orkiestrator wieloagentowy oparty na TypeScript/Node.js. W wersjach przed 5.1.3, transport HTTP MCP akceptuje żądania JSON-RPC bez żadnej autoryzacji, co pozwala na enumerację i wywoływanie uprzywilejowanych narzędzi zarządzających.

W pyLoad przed wersją 0.5.0b3.dev100 występuje podatność, która pozwala użytkownikowi z uprawnieniami Perms.MODIFY na określenie dowolnych katalogów jako lokalizacji pobierania pakietu poprzez funkcję API set_package_data(). Brak sanitizacji w kluczu '_folder' umożliwia to działanie.

W pyLoad przed wersją 0.5.0b3.dev100 metoda API set_config_value() nieprawidłowo zarządzała opcjami bezpieczeństwa, co pozwalało uwierzytelnionym użytkownikom z uprawnieniami do ustawień na włączenie proxy i skierowanie ruchu przez kontrolowany przez nich host.

Zen Browser przed wersją 1.19.9b zawierał aktualizator MAR, który nie weryfikował podpisów kryptograficznych. To stwarza ryzyko dostarczenia nieautoryzowanego kodu do użytkowników przez mechanizm automatycznych aktualizacji.

Sterownik jądra xhunter1.sys firmy Wellbia (XIGNCODE3) w wersjach od 10.0.10011.16384 do 2023.12.7.78 zawiera podatność na eskalację uprawnień, która udostępnia interfejs poleceń IRP_MJ_WRITE, umożliwiający dowolnemu procesowi użytkownika żądanie uprawnień PROCESS_ALL_ACCESS. Podatność nie została w pełni naprawiona i pozostaje w wersji 2023.12.7.78.

HireFlow v1.2 jest podatny na błędne zarządzanie dostępem. Aplikacja nie wymusza autoryzacji na poziomie obiektów dla punktów końcowych /candidate/<id> oraz /interview/<id>, co pozwala na dostęp do danych innych użytkowników.

HireFlow w wersji 1.2 nie implementuje walidacji tokenów CSRF na żadnym z punktów końcowych zmieniających stan. Wszystkie formularze są podatne na ataki CSRF, co pozwala atakującemu na zmianę hasła ofiary, usunięcie rekordów lub wstrzyknięcie dowolnych danych.

D-Link DCS-932L w wersji v2.18.01 jest podatny na wstrzyknięcie poleceń w funkcji sub_42EF14 pliku /bin/alphapd. Manipulacja argumentem LightSensorControl prowadzi do wstrzyknięcia poleceń.

W MuuCMF T6 w wersji 1.9.4.20260115 występuje podatność na atak typu SQL Injection, która pozwala nieautoryzowanemu atakującemu na kompromitację całej bazy danych oraz uzyskanie nieautoryzowanego dostępu administracyjnego. Atakujący może również potencjalnie uzyskać zdalne wykonanie kodu, zapisując złośliwe pliki w systemie plików serwera za pomocą parametru keyword w punkcie końcowym /index/controller/Search.php.

W podatności CVE-2026-30635 w automagik-genie 2.5.27 MCP Server, atakujący mogą wykonać dowolne polecenia poprzez wstrzyknięcie komend w funkcji readTranscriptFromCommit podczas odczytu z zewnętrznego FORGE_BASE_URL.

W wersjach MLflow przed 3.9.0 występuje podatność typu Server-Side Request Forgery (SSRF). Funkcja `_create_webhook()` akceptuje parametr `url` kontrolowany przez użytkownika bez walidacji, co pozwala atakującemu na wymuszenie wysyłania żądań HTTP do wewnętrznych usług lub zewnętrznych serwerów.

Funkcja extract_name() w dnsmasq zawiera podatność na przepełnienie bufora sterty, co pozwala atakującemu na wstrzyknięcie fałszywych wpisów do pamięci podręcznej DNS. Może to prowadzić do przekierowania zapytań DNS na adres IP kontrolowany przez atakującego lub do odmowy usługi (DoS).

Grav to platforma internetowa oparta na plikach. W wersjach przed 2.0.0-rc.2, lista dozwolonych działań w sandboxie Twig pozwalała każdemu użytkownikowi z rolą admin.pages na wywołanie config.toArray() w treści strony, co skutkowało wyświetleniem całej zintegrowanej konfiguracji witryny, w tym tajemnic pluginów.

Wtyczka formularzy dla Grav umożliwia tworzenie i używanie formularzy. W wersjach przed 9.1.0 istniała możliwość nieautoryzowanego nadpisania treści strony poprzez przesyłanie plików.