Katalog podatności CVE

Wersje JTL Shop od 5.2.0 do 5.7.1 zawierają podatność na wstrzykiwanie szablonów po stronie serwera, która pozwala nieautoryzowanym atakującym na wstrzykiwanie złośliwej składni szablonów z powodu niesanitowanych danych wejściowych użytkownika przekazywanych do silnika szablonów Smarty.

Systemy EPDS i EDS nie weryfikują żądań zmiany hasła w punkcie końcowym API '/update-profile/N'. Zdalny, nieautoryzowany atakujący może zmienić hasło dowolnego użytkownika.

W urządzeniach InHand Networks IR912 V1.0.0.r20042 oraz IR915 V1.0.0.r20042 (w tym wcześniejszych wersjach) odkryto podatność na wstrzykiwanie poleceń w funkcji przesyłania plików. Podatność ta umożliwia zdalnym atakującym wykonywanie dowolnych poleceń jako root za pomocą odpowiednio przygotowanego wejścia.

W urządzeniach InHand Networks IR912 V1.0.0.r20042 i IR915 V1.0.0.r20042 (w tym wcześniejszych wersjach) odkryto podatność na wstrzykiwanie poleceń w funkcji eksportu aplikacji Python. Ta podatność umożliwia zdalnym atakującym wykonywanie dowolnych poleceń jako root za pomocą odpowiednio przygotowanego wejścia.

W urządzeniach InHand Networks IR912 V1.0.0.r20042 oraz IR915 V1.0.0.r20042 (w tym wcześniejszych wersjach) odkryto podatność na wstrzykiwanie poleceń w funkcji przeglądania logów. Ta podatność umożliwia zdalnym atakującym wykonywanie dowolnych poleceń jako root za pomocą odpowiednio przygotowanego wejścia.

W urządzeniach InHand Networks IR912 V1.0.0.r20042 oraz IR915 V1.0.0.r20042 (w tym wcześniejszych wersjach) odkryto podatność na wstrzykiwanie poleceń w funkcji konfiguracji Pythona. Ta podatność umożliwia zdalnym atakującym wykonywanie dowolnych poleceń jako root za pomocą odpowiednio przygotowanego wejścia.

W Eclipse 4diac FORTE w wersjach od 3.0.0 do 3.1.0, specjalnie spreparowane polecenie DELETE connection wysłane do interfejsu zarządzania może prowadzić do powstania wiszącego wskaźnika. Umożliwia to kolejnym poleceniom dostęp do zwolnionej pamięci (use-after-free).

W systemach ibaPDA lub ibaDatCoordinator występuje podatność na deserializację niezaufanych danych, która może być wykorzystana przez zdalnego, nieautoryzowanego atakującego do uzyskania pełnego dostępu do systemów.

PIAF-HMS (PBX-In-A-Flash Hotel Management System) zawiera wiele podatności na wstrzykiwanie SQL bez uwierzytelniania. Aplikacja nie ma mechanizmu uwierzytelniania i przekazuje parametry HTTP bezpośrednio do przestarzałych wywołań mysql_query przez konkatenację stringów, bez sanityzacji, escapowania czy parametryzacji.

Występuje luka w omijaniu uwierzytelniania w walidacji tokenów opakowanych w bibliotece googleapis/mcp-toolbox. Luka ta pozwala na akceptację tokenów wydanych przez nieautoryzowanych dostawców tożsamości, gdy odpowiedź z zewnętrznego dostawcy OAuth nie zawiera pola 'iss'.

Występuje luka w autoryzacji w narzędziu googleapis/mcp-toolbox, która pozwala na obejście uwierzytelnienia. Problem dotyczy walidacji tokenów opakowanych, gdzie brak klucza 'active' w odpowiedzi z punktu introspekcji OAuth 2.0 skutkuje akceptacją tokenów, które nie powinny być uznawane za ważne.

Worksnaps przed wersją 1.6.20260201 zawiera twardo zakodowane dane uwierzytelniające do chmury oraz związane z nimi tajne materiały w binariach aplikacji klienckiej. Ujawnione dane uwierzytelniające obejmowały klucze dostępu AWS oraz nazwy bucketów S3.

Cotonti 1.0.0 (gałąź master, commit f43f1fc3) jest podatny na Cross-Site Request Forgery w handlerze uprawnień administracyjnych. W system/admin/admin.rights.php, akcja aktualizacji uprawnień ('a=update') modyfikuje prawa dostępu grup (w tym przez cot_auth_add_group) bez wywołania cot_check_xg w celu walidacji tokenu anty-CSRF.

Nur-Alam39 bus-ticket (brak wydanych wersji; najnowszy commit 459cabdbeb99c00225b26e46e3c2c30ae1de7bad) zawiera podatność na wstrzykiwanie SQL bez uwierzytelniania w bus_info.php. Parametr busid otrzymany przez HTTP POST jest konkatenowany bezpośrednio do zapytania MySQL (select * from bus_info where id=) bez sanityzacji, escapowania lub parametryzacji, w kontekście numerycznym (bez cudzysłowów).

TypeBot to narzędzie do budowy chatbotów, które w wersjach 3.16.1 i wcześniejszych ma nieautoryzowany punkt końcowy do generowania adresów URL do przesyłania plików. Umożliwia to anonimowym użytkownikom przesyłanie złośliwych plików HTML, SVG lub JS, co może prowadzić do przechowywania XSS.

Tinyproxy do wersji 1.11.3 nie odrzuca żądań zawierających wiele nagłówków Content-Length o różnych wartościach, przekazując wszystkie zduplikowane nagłówki do backendu, jednocześnie używając pierwszego do określenia liczby bajtów treści żądania do konsumpcji. Zdalni atakujący mogą desynchronizować stan parsera proxy i backendu, co umożliwia wstrzyknięcie dowolnych żądań HTTP do backendu, prowadząc do zatrucia pamięci podręcznej, ominięcia kontroli dostępu i przejęcia żądań.

Tinyproxy do wersji 1.11.3 nieprawidłowo obsługuje konflikt między nagłówkami Content-Length i Transfer-Encoding: chunked, przekazując oba do backendu, ale używając Content-Length do określenia liczby bajtów treści żądania. Zdalny atakujący może wykorzystać tę niespójność do desynchronizacji stanu parsowania między proxy a backendem, co umożliwia wstrzyknięcie dowolnych żądań HTTP do backendu.

Network-AI to orkiestrator wieloagentowy oparty na TypeScript/Node.js, który w wersjach 5.7.1 i wcześniejszych pozwalał na nieautoryzowane wywołanie narzędzi MCP z różnych źródeł z powodu pustego domyślnego sekretu. Problem ten został częściowo rozwiązany w wersji 5.4.5, jednak luka związana z pustym sekretu pozostała, co umożliwiało nieautoryzowany dostęp do wszystkich 22 narzędzi MCP.

Hermes WebUI w wersji przed 0.51.409 zawiera lukę w autoryzacji w punktach rejestracji kluczy dostępu, która pozwala nieautoryzowanym atakującym zdalnym na rejestrację dowolnych kluczy dostępu. W przypadku włączenia HERMES_WEBUI_PASSKEY=1 bez istniejących poświadczeń, punkty końcowe POST /api/auth/passkey/register/options i POST /api/auth/passkey/register są dostępne bez autoryzacji.