Katalog podatności CVE

Użytkownik może podać wyrażenie, którego długość przekracza limit ParserExpressionSizeLimit() skonfigurowany w środowisku CEL. Alokacja pamięci następuje proporcjonalnie do rozmiaru danych wejściowych, zanim limit zostanie sprawdzony lub wymuszony.

Wtyczka IP2Location Country Blocker dla WordPressa przed wersją 2.45.0 zawiera podatność polegającą na obejściu kontroli dostępu, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć ograniczenia oparte na adresie IP poprzez sfałszowanie nagłówka X-Real-IP. Atakujący mogą ustawić nagłówek X-Real-IP na dozwolony adres IP, aby ominąć ograniczenia dostępu do stron, linków lub całej witryny i uzyskać dostęp do zablokowanych zasobów.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność na wstrzykiwanie poleceń (Command Injection). Nieuwierzytelniony atakujący z dostępem zdalnym może ją wykorzystać, prowadząc do wstrzyknięcia skryptu.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność na nieprawidłową walidację certyfikatów. Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę podatność, prowadząc do nieautoryzowanego dostępu.

Dell Secure Connect Gateway (SCG) 5.0 Appliance przed wersją 5.36.00.xx zawiera podatność na nieprawidłową walidację certyfikatów. Nieuwierzytelniony atakujący z dostępem zdalnym może ją wykorzystać, co prowadzi do obejścia mechanizmów ochrony.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność na nieprawidłową walidację certyfikatów. Nieuwierzytelniony atakujący z dostępem zdalnym może ją wykorzystać, prowadząc do nieautoryzowanego dostępu.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność na nieprawidłową walidację certyfikatów. Nieuwierzytelniony atakujący z dostępem zdalnym może ją wykorzystać, prowadząc do nieautoryzowanego dostępu.

Podatność nieprawidłowego przypisania uprawnień do krytycznego zasobu w Pardus LightDM Greeter firmy TÜBİTAK BİLGEM pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji przed 0.4.15.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność na wstrzykiwanie poleceń systemu operacyjnego (OS Command Injection). Atakujący z niskimi uprawnieniami i dostępem lokalnym może ją wykorzystać, prowadząc do wykonania poleceń.

Wtyczka Rara One Click Demo Import dla WordPressa przed wersją 1.3.5 zawiera podatność arbitralnego przesyłania plików, która pozwala uwierzytelnionym atakującym z uprawnieniami Administratora na przesyłanie dowolnych plików PHP poprzez przekazanie fałszywej wartości do wp_handle_upload(), co wyłącza walidację typów plików w rdzeniu WordPressa dla wszystkich trzech parametrów plików w funkcji process_uploaded_files(). Atakujący mogą przesłać złośliwy plik PHP do katalogu uploads i wykonać go przez HTTP, osiągając zdalne wykonanie kodu w procesie serwera WWW, a przesłany plik pozostaje na dysku nawet po dezaktywacji wtyczki i nie pozostawia wpisu w bibliotece multimediów, co utrudnia standardowe kontrole integralności.

Pakiet npm "knowns" w wersjach <= 0.29.1 zawiera podatność path traversal w Document API. Funkcja cleanDocPath() nie neutralizuje sekwencji ../, a doc_store.go buduje ścieżkę docelową bez weryfikacji, czy znajduje się ona w katalogu dokumentów. W domyślnej konfiguracji (Management API bez uwierzytelniania, nasłuchujące na wszystkich interfejsach) zdalny nieuwierzytelniony atakujący może odczytywać, tworzyć, nadpisywać lub usuwać dowolne pliki .md oraz tworzyć katalogi na hoście. Podatność naprawiono w wersji 0.30.0.

Snipe-IT przed wersją 8.7.0 zawiera podatność polegającą na uszkodzonej kontroli dostępu w AssetModelPolicy, gdzie metoda files() kaskaduje z uprawnienia assets.files, umożliwiając uwierzytelnionym użytkownikom przesyłanie i usuwanie załączników w rekordach Asset Model bez wymaganego uprawnienia models.files. Atakujący posiadający tylko uprawnienie assets.files mogą modyfikować współdzielone załączniki modeli ponad granicami firm i ominąć dedykowane uprawnienie models.files, które ma ograniczać zarządzanie plikami we wspólnym katalogu Asset Model.

Snipe-IT do wersji 8.6.3 nie przeprowadza autoryzacji na poziomie obiektu w endpointach updateLicense, updateConsumable, updateAccessory i updateModel oraz w endpointcie storeModel dla Predefined Kits. Istniejąca kontrola autoryzuje tylko nadrzędny Predefined Kit (aktualizacja PredefinedKit), a nie dołączany obiekt podrzędny. W rezultacie uwierzytelniony użytkownik posiadający tylko uprawnienie kits.edit może dołączyć Licencję, Materiał eksploatacyjny, Akcesorium lub Model zasobu, których odczyt jest mu zabroniony (HTTP 403), do Predefined Kit, a indeks relacji zestawu ujawnia nazwę dołączonego obiektu temu użytkownikowi z niskimi uprawnieniami. Jest to odpowiednik ścieżki aktualizacji i storeModel dla CVE-2026-55478, który naprawił tylko metody storeLicense, storeConsumable i storeAccessory w wersji 8.6.2. Należy zauważyć, że updateModel był podatny w kodzie w wersji 8.6.3, ale nieosiągalny w praktyce z powodu literówki w nazwie trasy, która wiązała trasę z nieistniejącą metodą kontrolera, powodując odpowiedzi HTTP 500. Problem został naprawiony w Snipe-IT 8.7.0.

Snipe-IT przed wersją 8.7.0 zawiera podatność na trwały atak XSS w metodzie DepartmentPresenter::formattedNameLink(), gdzie nazwy działów są renderowane bez escapowania w gałęzi fallback dla użytkowników bez uprawnienia departments.view. Użytkownicy z uprawnieniem departments.edit mogą wstrzykiwać złośliwe skrypty do nazw działów, które wykonują się w przeglądarkach wszystkich członków działu podczas ładowania strony My Assets.

Snipe-IT przed wersją 8.7.0 nie koduje znaków HTML w polu employee_num w generatorze PDF akceptacji, co pozwala atakującym z uprawnieniami users.edit na wstrzyknięcie tagów img do funkcji writeHTML() TCPDF. Atakujący może utworzyć złośliwą wartość employee_num zawierającą tag img z dowolnym adresem HTTP(S), co powoduje żądania po stronie serwera do wewnętrznych usług, punktów końcowych metadanych chmury lub zewnętrznych celów, gdy ofiara podpisze akceptację zasobu.

Snipe-IT przed wersją 8.7.0 nie sprawdza wielkości liter w nazwach użytkowników podczas uwierzytelniania SAML, co pozwala atakującym na uwierzytelnienie się jako inni użytkownicy poprzez rejestrację kont IdP z wariantami akcentów lub wielkości liter nazw ofiar. Atakujący mogą wykorzystać domyślną kolację bazy danych utf8mb4_unicode_ci, aby ominąć dopasowanie nazw użytkowników i przejąć konta przez ścieżki logowania federacyjnego, w tym SAML, LDAP i OAuth.

Snipe-IT przed wersją 8.7.0 zawiera podatność niewłaściwego zarządzania własnością w punkcie końcowym API wydawania materiałów eksploatacyjnych, gdzie w kolumnie created_by zapisywane jest id docelowego użytkownika zamiast id uwierzytelnionego wywołującego. Uwierzytelnieni atakujący z uprawnieniem consumables.checkout mogą przeprowadzać wydania, które powodują błędne wpisy w dzienniku audytu w tabeli przestawnej consumables_users, zaciemniając, który operator wykonał akcję.

Snipe-IT przed wersją 8.7.0 nie weryfikuje stanu miękkiego usunięcia w punktach końcowych API wydawania, co pozwala uwierzytelnionym użytkownikom z uprawnieniami do wydawania na przypisywanie aktywnego inwentarza do usuniętych (trashed) celów. Atakujący mogą wysyłać żądania POST do punktów końcowych wydawania sprzętu, komponentów lub materiałów eksploatacyjnych z identyfikatorami usuniętych użytkowników, aktywów lub lokalizacji, tworząc osierocone odniesienia, które uszkadzają księgę aktywów i dzienniki audytu.

Snipe-IT przed wersją 8.7.0 nie stosuje filtrowania zakresu firm do punktu końcowego GET /hardware/requested, gdy włączona jest pełna obsługa wielu firm, co pozwala uwierzytelnionym użytkownikom z uprawnieniem assets.view na odczyt oczekujących żądań aktywów ze wszystkich firm. Atakujący mogą pobierać dane między dzierżawcami, w tym nazwy żądanych aktywów, nazwy wyświetlane osób żądających, linki do profili, lokalizacje i oczekiwane daty zwrotu, bez manipulacji parametrami.

Snipe-IT do wersji 8.6.3 włącznie zawiera warunek wyścigu (TOCTOU) w punkcie końcowym API wydawania materiałów eksploatacyjnych (POST /api/v1/consumables/{consumable_id}/checkout). Żądana ilość jest weryfikowana względem liczby pozostałych jednostek przed rozpoczęciem transakcji bazy danych, a transakcja tworzy rekordy wydania bez blokowania wiersza materiału ani ponownego sprawdzania dostępności. Uwierzytelniony użytkownik z uprawnieniem do wydawania materiałów może wysyłać równoczesne żądania wydania dla tego samego materiału, tak że oba żądania przechodzą kontrolę dostępności i kończą się sukcesem, nadprzydzielając stan magazynowy i doprowadzając do ujemnego stanu (np. materiał z 1 pozostałą jednostką kończy na -1 po dwóch równoczesnych wydaniach po 1 jednostce). Problem naprawiono w wersji 8.7.0, która ponownie pobiera wiersz nadrzędny z lockForUpdate wewnątrz transakcji i ponownie weryfikuje dostępność.