Katalog podatności CVE

Podatność w NextGen Connect (Mirth Connect) w wersjach 4.7.1 i wcześniejszych umożliwia uwierzytelnionemu użytkownikowi wykonanie dowolnego SQL poprzez API Database Connector. Może to skutkować ujawnieniem zapisanych poświadczeń do połączonych systemów, zapisem dowolnych plików oraz atakiem typu denial-of-service.

Gdy włączone jest przetwarzanie wsadowe XML i wybrana jest opcja XPath, surowe dane wejściowe przechodzą przez domyślną konfigurację XPath/JAXP bez ograniczeń dotyczących encji. Umożliwia to atak typu XXE injection prowadzący do eksfiltracji danych i ataków denial-of-service.

Krok XSLT Transformer Step tworzy TransformerFactory bez ustawionych odpowiednich opcji bezpieczeństwa. Umożliwia to atak typu XXE injection prowadzący do eksfiltracji danych i ataków denial-of-service.

Endpoint terminala VSAT iDirect iQ200 zwraca pełną konfigurację urządzenia w formacie JSON, w tym sekcję SECURITY zawierającą hashe haseł MD5-crypt dla kont root SSH oraz administracji webowej. Każdy użytkownik z ważnymi poświadczeniami webowymi może wyodrębnić te hashe i złamać je offline przy użyciu powszechnie dostępnego sprzętu.

W terminalu VSAT iDirect iQ200 z firmware 23.0.1.0 występuje lokalna podatność na podniesienie uprawnień. Urządzenie jest fabrycznie wyposażone w wbudowane konto lokalne o niskich uprawnieniach, przeznaczone dla techników terenowych, które zapewnia początkowy dostęp wymagany do wykorzystania podatności — nie trzeba zdobywać ani łamać żadnych dodatkowych poświadczeń.

W usłudze Dynamic Client Registration w Keycloak wykryto usterkę polegającą na tym, że użytkownik z rolą view-clients uzyskujący dostęp do endpointu rejestracji klienta otrzymuje poufny sekret klienta w postaci jawnej z powodu braku maskowania danych wrażliwych.

W Akana API Platform wykryto podatność typu XML external entity (XXE), wynikającą z niewłaściwego ograniczenia odwołań podczas przetwarzania XML do JSON. Problem dotyczy wersji 2026.1, 2025.1.1 oraz wszystkich wersji przed 2024.1.6 (w tym starszych nieobsługiwanych wersji) i został naprawiony jako poprawka bezpieczeństwa w najnowszym wydaniu obsługiwanych wersji.

Podatność w Robotics-STAR-Lab (SYSU STAR Group) RACER w wersji commit abcdef1234567890 pozwala atakującemu na wywołanie niebezpiecznego planowania trajektorii i potencjalnych kolizji UAV z powodu braku domyślnego przypadku w FSM, który zatrzymuje publikowanie trajektorii roju, gdy dron przechodzi w stan IDLE.

Problem w ZJU-FAST-Lab EGO-Planner-v2 we wszystkich wersjach do commita 5c99a95880401e2599638d567abc0e240396cb42 pozwala atakującemu wywołać odmowę usługi poprzez interakcję między traj_server, poscmd_2_odom oraz logiką awaryjnego odzyskiwania EGOReplanFSM.

W wersjach Headroom przed 0.35.0 serwer WebSocket nie weryfikuje nagłówka `Origin` przychodzących żądań przed przekazaniem ich do serwera nadrzędnego, co pozwala złośliwym klientom WebSocket na wykonywanie dowolnych żądań do LLM bez uwierzytelnienia. Podatność może zostać wykorzystana przez złośliwego klienta WebSocket działającego w przeglądarce, jeśli ma ona dostęp do proxy Headroom, a klucz OpenAI API jest przechowywany w zmiennej środowiskowej `OPENAI_API_KEY`. Wersja 0.35.0 naprawia ten problem.

NetBSD zawiera podatność ujawnienia informacji w mm_open() w sys/dev/mm.c, która pozwala nieuprzywilejowanym lokalnym użytkownikom uzyskać rzeczywiste wirtualne adresy jądra poprzez otwieranie ogólnodostępnych urządzeń, takich jak /dev/null lub /dev/zero, które błędnie otrzymują flagę procesu PK_KMEM. Atakujący mogą wykorzystać tę błędną flagę do obejścia mechanizmu zaciemniania CANSEE_KPTR i odczytu wirtualnych adresów jądra dla wrażliwych struktur.

NetBSD zawiera podatność use-after-free i double-free w funkcji msg_recv_copyin() w warstwie kompatybilności COMPAT_NETBSD32, spowodowaną brakiem instrukcji return przed etykietą czyszczenia na ścieżce sukcesu. Każdy lokalny użytkownik mogący uruchomić 32-bitowy plik binarny w 64-bitowym systemie NetBSD może wywołać panikę jądra lub uszkodzenie pamięci, wywołując recvmsg() z msg_iovlen między 9 a IOV_MAX.

W komponencie Endpoint DLP (epdlpdrv.sys) Netskope Client for Windows przed wersją R141 istnieje podatność ujawnienia informacji. Wewnętrzny kanał komunikacji używany przez DLL hooka w przestrzeni użytkownika do przekazywania wiadomości przez sterownik jądra do demona nie miał odpowiedniej walidacji wiadomości opartej na tokenach, a bufor odpowiedzi nie był inicjalizowany przed zwróceniem danych, co ujawniało resztkowe fragmenty pamięci jądra.

Podatność polegająca na niewłaściwej neutralizacji separatorów argumentów w poleceniu (argument injection) w oprogramowaniu Pardus Pen firmy TUBITAK BILGEM Software Technologies Research Institute. Problem dotyczy wersji Pardus Pen przed 4.2.1.

Podatność polegająca na umieszczeniu wrażliwych informacji w kodzie źródłowym w Fortinet FortiMonitorOnSight w wersjach 7.2.4 do 7.2.7 oraz 7.2.0 do 7.2.2 może pozwolić atakującemu na nieprawidłową kontrolę dostępu. Opis nie precyzuje wektora ataku.

Podatność w bramie API i ścieżce walidacji tożsamości Chef Automate może pozwolić nieuwierzytelnionemu podmiotowi na uzyskanie podwyższonego dostępu do chronionych funkcji Chef Automate w określonych warunkach.

Hugo od wersji v0.161.0 wykonuje narzędzia Node w modelu uprawnień Node, ale TailwindCSS — domyślnie na liście security.exec.allow — wymaga bardzo permisywnej konfiguracji (--allow-addons, --allow-child-process, --allow-worker). W rezultacie ograniczenia wprowadzone w poprawce do GHSA-x597-9fr4-5857 mogą być obejściem, pozwalając narzędziu Node wywołanemu podczas budowania na odczyt i zapis plików poza katalogiem roboczym projektu. Dotyczy wersji po v0.43; problem naprawiono w v0.165.0 poprzez usunięcie tailwindcss z domyślnej listy security.exec.allow. Użytkownicy niekorzystający z TailwindCSS lub budujący tylko zaufane strony nie są dotknięci. Obejściem jest zdefiniowanie restrykcyjnej listy security.exec.allow w hugo.toml.

Hugo to generator statycznych stron. W wersjach po v0.123.0 i przed v0.165.0 dowiązania symboliczne w katalogach nadrzędnych nie były usuwane podczas bezpośrednich wyszukiwań zasobów, co pozwalało obejść ograniczenia ścieżek. Atakujący mogący umieścić dowiązanie symboliczne w zamontowanym katalogu może spowodować, że funkcje takie jak resources.Get i os.ReadFile odczytają pliki spoza zamierzonych granic projektu i ujawnią ich zawartość w zbudowanej witrynie.

AVideo do wersji 29.0 zawiera podatność IDOR w pliku objects/categoryDeleteAssets.json.php. Endpoint sprawdza jedynie uprawnienie Category::canCreateCategory() oraz nonce CSRF, po czym przekazuje parametr id do Category::deleteAssets(), co rekursywnie usuwa katalog zasobów kategorii. Brakuje sprawdzenia właściciela Category::userCanEditCategory(), które stosuje sąsiednia metoda Category::delete().

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting w pluginie Bookmark, gdzie nazwy rozdziałów nie są kodowane przed wstawieniem do publicznego HTML strony odtwarzania. Właściciel wideo może wstrzyknąć złośliwe skrypty poprzez parametr nazwy zakładki, a każdy odwiedzający to wideo wykonuje ładunek w domenie AVideo.