Katalog podatności CVE

W Zabbix 7.4 klucz kryptograficzny używany do podpisywania sesji Frontend został błędnie zapisany w seedzie bazy danych. Obecnie jedyny znany scenariusz wykorzystania dotyczy wdrożeń korzystających zarówno z uwierzytelniania SAML, jak i użytkowników gości. W takich przypadkach klucz może zostać użyty do sfałszowania ważnych ciasteczek sesji, co może prowadzić do nieautoryzowanego dostępu. Dla innych wdrożeń Zabbix nie ma znanego wpływu.

ArcadeDB przed wersją 26.8.1 zawiera podatność braku uwierzytelnienia w pluginie Redis wire-protocol, co pozwala nieuwierzytelnionym atakującym na odczyt, zapis i usuwanie danych. Atakujący mogą łączyć się z portem Redis i wykonywać dowolne polecenia na dowolnej bazie danych bez podawania poświadczeń.

ArcadeDB przed wersją 26.8.1 nie egzekwuje uwierzytelniania SASL dla poleceń danych w pluginie MongoDB wire-protocol. Nieuwierzytelnieni atakujący mogą wydawać polecenia insert, find, update, delete i create na dowolnej bazie danych, łącząc się z portem 27017 bez poświadczeń.

Serwer ArcadeDB (com.arcadedb:arcadedb-server) w wersjach 26.7.3 i wcześniejszych nie propaguje uwierzytelnionego podmiotu do asynchronicznych wątków roboczych poleceń. Gdy polecenie HTTP jest wysyłane z awaitResponse:false, wykonuje się na asynchronicznym workerze, którego DatabaseContext nie ma powiązanego użytkownika, co powoduje, że brama autoryzacji skryptów staje się nieaktywna. Użytkownik z dostępem tylko do odczytu do jednej bazy danych może wysłać asynchroniczne polecenie JavaScript (language=js) przez endpoint /api/v1/command, aby uruchomić kod z nieograniczonym dostępem do hosta (np. database.getSecurity().createUser) i utworzyć administratora całego serwera, eskalując do pełnej kontroli administracyjnej. Naprawione w wersji 26.8.1.

ArcadeDB przed wersją 26.8.1 nie wiąże uwierzytelnionego podmiotu z wątkiem wykonawcy transakcji gRPC w beginTransaction, co pozwala uwierzytelnionym użytkownikom z prawami odczytu na wykonywanie poleceń JavaScript bez kontroli autoryzacji skryptów. Atakujący mogą wykonać executeCommand z identyfikatorem transakcji, aby uruchomić nieograniczony JavaScript tworzący konta administratora całego serwera.

Grav przed wersją 2.0.14 nie zabezpiecza pola access w podstawowym blueprint grupy wymaganym ograniczeniem security@: admin.super. Delegowany operator admin.users może zapisać grupę z access[admin][super]=true, aby eskalować do super-admina, uzyskując możliwości planowania i ewaluacji Twig.

Bastillion nieprawidłowo waliduje ścieżki URI w swoim kontrolerze, co pozwala nieuwierzytelnionym atakującym ominąć filtry uwierzytelniania przez dodanie dowolnych segmentów ścieżki. Atakujący mogą uzyskać dostęp do kontrolerów administracyjnych, aby odczytać listy użytkowników, tworzyć konta menedżerów i rejestrować zarządzane systemy, przejmując kontrolę nad dostępem SSH do zarządzanej floty.

SpiderFoot nie koduje znaków HTML w tytułach korelacji budowanych z zewnętrznych danych skanowania, takich jak banery serwerów i metadane. Atakujący mogą wstrzyknąć złośliwe elementy HTML z obsługą zdarzeń do wyników korelacji, które wykonują skrypty w przeglądarce operatora po otwarciu widoku korelacji, potencjalnie kradnąc klucze API.

W Apache SkyWalking MCP w wersji 0.1.0 wykryto podatność SSRF przez narzędzie set_skywalking_url oraz podatność na wstrzykiwanie wyrażeń GraphQL. Użytkownicy powinni zaktualizować do wersji 0.2.0, która naprawia ten problem.

Wtyczka Forminator Forms dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 1.56.1 włącznie, przez funkcję handle_file_upload. Wynika to z niewystarczającej walidacji typów plików, gdzie lista niebezpiecznych rozszerzeń wykonuje dokładne dopasowanie kluczy, które można obejść przez klucze MIME z alternatywami typu pipe, w połączeniu z publicznym handlerem przesyłania, który ufa kontrolowanej przez atakującego konfiguracji pola uploadu wstrzykniętej przez sfałszowaną wartość pola Select. Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co pozwala na zdalne wykonanie kodu.

W produkcie COMFAST CF-N1-S w wersji 2.6.0.1 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji sub_44B438 pliku /cgi-bin/mbox-config?method=SET&section=ptest_ssid. Manipulacja argumentem ssid umożliwia zdalne wykonanie poleceń. Exploit został opublikowany i może być wykorzystany.

Problem w Halo 2.25.4 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponenty PluginEndpoint.java, metodę installFromUri oraz DefaultPluginApplicationContextFactory.

Mahara przed wersją 25.04.5 i 26.04.0 jest podatny w funkcjonalności bloku/skcji tekstowej, gdy wywołanie jest skonstruowane w określony sposób, co pozwala na przywołanie kopii zapasowej treści z innej sekcji tekstowej.

Mahara przed wersją 25.04.5 i 26.04.0 jest podatny na udostępnianie artefaktów innym osobom w określonych okolicznościach, gdy ścieżka pliku do artefaktu na stronie jest manipulowana.

Podatność Server-Side Template Injection (SSTI) w konfiguracji silnika szablonów Velocity w xdocreport od wersji 0.9.2 do 2.2.0 pozwala atakującym na wykonanie dowolnego kodu poprzez spreparowane wyrażenie.

Onyx to platforma AI o otwartym kodzie źródłowym. Przed wersjami 3.1.10, 3.2.14 i 4.0.0, endpointy GET /api/mcp/servers oraz GET /api/mcp/servers/persona/{persona_id} ujawniają nagłówek OAuth Authorization innego użytkownika, ponieważ OnyxTokenStorage.set_tokens i OnyxTokenStorage.set_client_info w backend/onyx/server/features/mcp/api.py kopiują tokeny per użytkownik do wspólnego wiersza MCPConnectionConfig, a _db_mcp_server_to_api_mcp_server zwraca ten wiersz przez auth_template.headers każdemu użytkownikowi z dostępem BASIC_ACCESS. Problem został naprawiony w wersjach 3.1.10, 3.2.14 i 4.0.0.

Problem w PbootCMS w wersji 3.2.15 pozwala atakującemu na wykonanie dowolnego kodu poprzez komponenty MemberController.php, UserController.php, CommentController.php, ContentController.php oraz helper.php.

Podatność polegająca na zapisie poza zakresem pamięci (heap-based out-of-bounds write) w S2OPC 1.7.3 występuje w obsłudze EventFilter po stronie serwera podczas przetwarzania CreateMonitoredItems. Pozwala to zdalnemu atakującemu na wykonanie dowolnego kodu.

Podatność SQL Injection w Qcms w wersji 6.0.6 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu.