Katalog podatności CVE

W HAPI FHIR przed wersją 6.9.4, metoda ManagedWebAccessUtils.getServer() używa String.startsWith() do dopasowywania URL-i żądań do skonfigurowanych serwerów w celu wysyłania poświadczeń uwierzytelniających. Brak sprawdzania końca hosta lub ukośnika powoduje, że domena atakującego (np. http://tx.fhir.org.attacker.com) pasuje do prefiksu i otrzymuje tokeny Bearer, dane uwierzytelniające Basic Auth lub klucze API, gdy klient HTTP podąża za przekierowaniem.

NVIDIA BioNeMo zawiera podatność umożliwiającą deserializację niezaufanych danych. Udane wykorzystanie może prowadzić do wykonania kodu, odmowy usługi, ujawnienia informacji i manipulacji danymi.

NVIDIA BioNeMo zawiera podatność, w której użytkownik może spowodować deserializację niezaufanych danych. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, odmowy usługi, ujawnienia informacji i manipulacji danymi.

NVIDIA Jetson Linux ma podatność w initrd, gdzie nieuprzywilejowany atakujący z fizycznym dostępem może wstrzyknąć nieprawidłowe argumenty wiersza poleceń. Udane wykorzystanie może prowadzić do wykonania kodu, eskalacji uprawnień, DoS, manipulacji danymi i ujawnienia informacji.

NVIDIA Jetson dla JetPack zawiera podatność w logice inicjalizacji systemu, gdzie nieuprzywilejowany atakujący może spowodować inicjalizację zasobu z niebezpiecznymi ustawieniami domyślnymi.

Router Tenda CH22 w wersji 1.0.0.1 zawiera podatność na przepełnienie bufora stosu w funkcji formWebTypeLibrary w pliku /goform/webtypelibrary. Manipulacja argumentem webSiteId umożliwia zdalne wykonanie kodu. Exploit został publicznie ujawniony.

Moduł PAGI::Middleware::Session::Store::Cookie dla Perla generuje losowe bajty w niebezpieczny sposób. Jeśli odczyt z /dev/urandom zawiedzie, używa funkcji rand, która nie jest kryptograficznie bezpieczna. Może to prowadzić do przewidywalnego wektora inicjalizującego (IV) do szyfrowania ciasteczek sesji.

Parse Server przed wersjami 8.6.68 i 9.7.0-alpha.12 ma podatność na atak DoS przez GraphQL. Wysyłając spreparowane zapytanie z binarnym rozgałęzieniem fragmentów, nieuwierzytelniony atakujący może zablokować pętlę zdarzeń Node.js na kilka sekund, uniemożliwiając działanie innym użytkownikom. Problem dotyczy tylko instalacji z włączonymi opcjami requestComplexity.graphQLDepth lub requestComplexity.graphQLFields.

Biblioteka JOSE (JavaScript Object Signing and Encryption) przed wersją 0.3.5+1 zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu zdalne fałszowanie tokenów JWS/JWT. Atakujący może wykorzystać klucz publiczny umieszczony w nagłówku JWK do podpisania tokena, a biblioteka błędnie traktuje ten klucz jako wiarygodny nawet jeśli nie znajduje się w zaufanym magazynie kluczy.

Sliver przed wersją 1.7.4 zawiera podatność, która pozwala nieuwierzytelnionemu atakującemu na przejęcie kontroli nad wszystkimi aktywnymi sesjami C2 i beaconami pojedynczym kliknięciem w złośliwy link. Atak może być przeprowadzony przez przeglądarkę operatora i umożliwia eksfiltrację danych (np. klucze SSH, ntds.dit) lub zniszczenie całej infrastruktury.

Podatność w aplikacji Voice Recorder v10.0 firmy UXGROUP LLC umożliwia atakującym nadpisanie dowolnych plików wewnętrznych poprzez proces importu plików. Może to prowadzić do wykonania dowolnego kodu lub ujawnienia informacji.

Instalator Anthropic Claude dla Windows (Claude Setup.exe) przed wersją 1.1.3363 jest podatny na przejęcie DLL przez niekontrolowaną ścieżkę wyszukiwania, co umożliwia lokalną eskalację uprawnień.

OpenClaw przed wersją 2026.3.28 zawiera podatność na SSRF w komponencie fal provider image-generation-provider.ts. Atakujący może wykorzystać niezabezpieczone pobieranie obrazów do ujawnienia wewnętrznych metadanych usług i odpowiedzi przez potok obrazów.

OpenClaw przed wersją 2026.3.28 nie rozłącza aktywnych sesji WebSocket po usunięciu urządzeń lub unieważnieniu tokenów. Atakujący z unieważnionymi poświadczeniami mogą utrzymać nieautoryzowany dostęp przez istniejące aktywne sesje aż do wymuszonego ponownego połączenia.

ZEBRA (węzeł Zcash) przed wersjami zebrad 4.3.0 i zebra-consensus 5.0.1 ma błąd logiczny w pamięci podręcznej weryfikacji transakcji. Złośliwy górnik może wywołać podział konsensusu, dopasowując txid prawidłowej transakcji do nieprawidłowych danych autoryzacyjnych, co powoduje akceptację nieprawidłowego bloku przez podatne węzły.

Parse Server przed wersjami 8.6.66 i 9.7.0-alpha.10 nie respektuje opcji serwera allowOrigin w API GraphQL, zezwalając na żądania cross-origin z dowolnej strony. REST API poprawnie egzekwuje to ograniczenie.

W Trino od wersji 439 do przed 480, katalog REST Iceberg connector ujawnia statyczne poświadczenia (access key) lub tymczasowe poświadczenia (temporary access key) użytkownikom z uprawnieniami zapisu na poziomie SQL.

mppx przed wersją 0.4.11 nie sprawdzał nagłówka Idempotent-Replayed Stripe podczas tworzenia PaymentIntents. Atakujący mógł powtórzyć ważne poświadczenie z tym samym tokenem spt wobec nowego wyzwania, a serwer akceptował powtórzony PaymentIntent jako nową płatność bez faktycznego obciążania klienta. Umożliwiało to jednorazową płatność i nieograniczone zużycie zasobów.

mppx przed wersją 0.4.11 zawiera podatność w handlerze cooperative close protokołu tempo/session. Walidacja kwoty close voucher używa operatora "<" zamiast "<=" w porównaniu z kwotą rozliczoną na łańcuchu. Atakujący może przesłać close voucher dokładnie równy kwocie rozliczonej, który zostanie zaakceptowany bez zobowiązywania nowych środków, skutecznie zamykając kanał za darmo.

ZEBRA, węzeł Zcash napisany w Rust, przed wersją zebrad 4.3.0 i zebra-chain 6.0.1 zawiera podatność w logice przetwarzania transakcji. Zdalny, nieuwierzytelniony atakujący może wysłać specjalnie spreparowaną transakcję V5, która przechodzi początkową deserializację, ale powoduje błąd podczas obliczania identyfikatora transakcji, prowadząc do paniki (awarii) węzła.