Katalog podatności CVE

Doco-CD to narzędzie GitOps do automatycznego wdrażania projektów Docker Compose i stosów Swarm. W wersjach przed 0.90.1 występuje błąd granicy zaufania w weryfikacji artefaktów OCI — konfiguracja wdrożenia zawarta w artefakcie (plik `.doco-cd.yml` z `oci.verify: false`) mogła wpływać na politykę weryfikacji tego samego artefaktu. Przy włączonej globalnej weryfikacji podpisów OCI (`OCI_TRUST_POLICY` z `enabled: true`) atakujący z prawem zapisu do tagu OCI mógł opublikować niepodpisany lub niepoprawnie podpisany artefakt, co prowadziło do obejścia weryfikacji podpisu i wdrożenia niezaufanej treści.

libde265 to otwartoźródłowa implementacja kodeka wideo H.265. Wersje przed 1.1.1 używają arytmetyki 32-bitowej ze znakiem do obliczania rozmiaru bufora wejściowego sample adaptive offset, co pozwala spreparowanemu strumieniowi HEVC o dużych wymiarach i 16-bitowych próbkach luma wywołać przepełnienie liczbowe, zbyt małą alokację i odczyt poza granicami sterty.

libde265 to otwartoźródłowa implementacja kodeka wideo H.265. Wersje przed 1.1.1 używają arytmetyki 32-bitowej ze znakiem do obliczania przesunięć pikseli, co pozwala spreparowanemu strumieniowi HEVC o dużych wymiarach obrazu wywołać przepełnienie liczbowe i odczyty lub zapisy poza granicami sterty.

Hoverfly w wersjach przed 1.12.8 używa http.DefaultClient bez konfiguracji limitu czasu dla zdalnych akcji post-serve. Gdy zdalny punkt końcowy jest nieosiągalny lub celowo powolny, każde wywołane żądanie proxy tworzy goroutine, która blokuje się na czas nieokreślony na http.DefaultClient.Do().

Hoverfly to otwartoźródłowe narzędzie do symulacji API. W wersjach przed 1.12.8, gdy Hoverfly działa w trybie Diff, funkcja AddDiff() zapisuje do współdzielonej mapy responsesDiff bez żadnej synchronizacji (brak mutexa). Przy równoczesnym przetwarzaniu wielu żądań proxy równoczesne zapisy do mapy wywołują wbudowany detektor wyścigów Go, powodując błąd fatal error: concurrent map read and map write i natychmiastowe zabicie całego procesu Hoverfly.

Kimai w wersjach przed 2.58.0 zawiera uwierzytelnione problemy z cross-site request forgery w domyślnych skrótach tworzenia zespołów dla projektów, klientów i działań. Punkty końcowe są dostępne przez trasy GET i bezpośrednio tworzą lub ponownie wykorzystują zespół, dodają bieżącego użytkownika jako lidera zespołu i wiążą obiekt docelowy z tym zespołem.

libks zapewnia podstawowe wsparcie dla produktów signalwire C. W wersjach przed 2.0.11 funkcja clean_uri() w parserze żądań HTTP libks nie odrzuca URI, których ścieżka ma więcej segmentów niż może pomieścić wewnętrzny bufor kanonizacji. Krok kanonizacji po cichu przepuszcza takie URI z osadzonymi sekwencjami "..", umożliwiając path traversal u każdego konsumenta, który później łączy URI ze ścieżką systemu plików.

OpenTelemetry eBPF Profiler w wersjach od 0.0.202527 do przed 0.0.202622 pozwala nieuprzywilejowanemu procesowi spowodować, że profiler otworzy nieregularny plik mapowania, taki jak FIFO, i zablokuje się na czas nieokreślony, uniemożliwiając dalszą analizę ELF i powodując odmowę usługi.

matrix-sdk-crypto w wersjach od 0.12.0 do przed 0.17.0 pomijał sprawdzenie identyfikatora użytkownika podczas odszyfrowywania zdarzenia zaszyfrowanego Olm zawierającego właściwość sender_device_keys. Może to być wykorzystane do sfałszowania zaszyfrowanego zdarzenia to-device, ale tylko jeśli atakujący współpracuje z operatorem homeservera.

OpenMRS to otwartoźródłowa platforma elektronicznej dokumentacji medycznej. W wersjach przed 1.23.0 i 2.10.0 uwierzytelniony użytkownik może wywołać administracyjne usługi DWR. W szczególności dostępna jest metoda startHl7ArchiveMigration, która powinna być ograniczona do kont o uprawnieniach administratora.

Concrete CMS w wersjach poniżej 9.5.3 jest podatny na trwały XSS poprzez pole Date Format w bloku Page Attribute Display. Użytkownik z uprawnieniem edit_page_contents może zapisać złośliwy kod, który wykona się w przeglądarce każdego odwiedzającego stronę, na której blok wyświetla atrybut typu data.

Concrete CMS w wersjach poniżej 9.5.3 nie stosuje escapowania HTML dla pól opisu pliku i tagów podczas renderowania bloku Document Library. Użytkownik mogący edytować właściwości plików może zapisać złośliwy skrypt, który wykona się w przeglądarce każdego odwiedzającego stronę z włączoną kolumną opisu lub tagów, w tym niezalogowanych.

Concrete CMS w wersjach 9.5.2 i poniżej jest podatny na CSRF w funkcji Express "Clear Entries" (POST /index.php/dashboard/system/express/entities/delete_entries), ponieważ kontroler rejestruje, ale nie egzekwuje nieudanej weryfikacji tokenu CSRF. Zdalny niezalogowany atakujący może zmusić zalogowanego administratora odwiedzającego stronę kontrolowaną przez atakującego do trwałego usunięcia wszystkich wpisów wybranej encji Express.

API bloków Concrete CMS w wersjach 9.2.0 do 9.5.2 nie wywoływało metody validate() kontrolera typu bloku dla przesłanych danych, co dla bloków odwołujących się do plików (np. hero_image, gallery) pozwalało na zapisanie i wyświetlenie odwołania do pliku, który normalnie zostałby odrzucony przez politykę autoryzacji menedżera plików. Ujawnia to URL i podgląd pliku edytorowi oraz odwiedzającym stronę.

Narzędzia Apko i melange weryfikowały jedynie hash sekcji kontrolnej (np. .PKGINFO) względem podpisanego APKINDEX, ale nie sprawdzały hasha sekcji danych, czyli właściwych plików pakietu. Atakujący mogący przejąć mirror, zatruć cache lub przeprowadzić atak MITM mógł podmienić dowolną zawartość plików, podczas gdy kontrola hasha sekcji kontrolnej nadal przechodziła pomyślnie.

W Shelf uwierzytelnieni użytkownicy z uprawnieniem asset:import mogą wywoływać po stronie serwera żądania HTTP do adresów kontrolowanych przez atakującego poprzez funkcję importu zawartości CSV. Logikę walidacji imageUrl można obejść m.in. przez rozszerzenia obrazów, słowa kluczowe ścieżek, dopasowanie podciągów domeny i łańcuchy przekierowań, co prowadzi do podatności SSRF. Dodatkowo treści odpowiedzi są buforowane w całości przed sprawdzeniem rozmiaru, co stwarza wektor wyczerpania pamięci.

Dobase w wersjach przed 2026.06.03 ma podatność typu stored DOM-based XSS w publicznej, niezalogowanej galerii obrazów udostępnionego folderu. Nazwa pliku jest w pełni kontrolowana przez atakującego i nie jest sanityzowana, co pozwala na wykonanie złośliwego kodu w przeglądarce każdego, kto ma publiczny link do udostępnienia.

Mousehole w wersjach przed 0.4.05 ma granicę zarządzania HTTP/WebSocket dostępną bez uwierzytelniania aplikacji lub sprawdzania pochodzenia przeglądarki/LAN. Usługa przechowuje ciasteczko sesji MyAnonamouse (MAM) i używa tej samej serializacji z ciasteczkiem dla stanu, odpowiedzi API i aktualizacji WebSocket, co pozwala każdemu klientowi z dostępem do portu odczytać stan, zastąpić ciasteczko lub wymusić efekty uboczne aktualizacji MAM.

Kimai w wersjach przed 2.58.0 zawiera podatność typu server-side request forgery (SSRF) w procesie podglądu i generowania faktur PDF. Jeśli atakujący kontroluje treść Markdown renderowaną do faktury PDF, np. Customer.invoiceText, serwerowy renderer PDF pobiera zdalne adresy URL obrazów osadzonych w składni Markdown, co pozwala na wysyłanie żądań do celów kontrolowanych przez atakującego lub wewnętrznych.

Pakiet nl.nl-portal:taak w wersjach od 1.5.0 do 3.0.0 nie weryfikuje własności zadania podczas przetwarzania mutacji GraphQL submitTaakV2. Uwierzytelniony użytkownik znający lub zgadujący identyfikator zadania innego użytkownika może odczytać dane formularza, nadpisać przesłane dane i oznaczyć zadanie jako ukończone.