Katalog podatności CVE

Nextcloud Twofactor WebAuthn to dostawca drugiego składnika uwierzytelniania WebAuthn dla Nextcloud. Przed wersjami 1.4.2 i 2.4.1 brak sprawdzenia własności pozwalał atakującemu usunąć urządzenie WebAuthn 2FA po poprawnym odgadnięciu losowego ciągu 80–128 znaków (liter, cyfr i symboli). Ofiara byłaby następnie proszona o zarejestrowanie nowego urządzenia przy kolejnym logowaniu; atakujący nie może zalogować się jako ofiara.

W aplikacji Nextcloud Talk przed wersjami 20.1.8 i 21.1.2 uczestnik posiadający uprawnienia do czatu mógł usuwać szkice ankiet innych uczestników rozmowy na podstawie ich identyfikatora numerycznego. Podatność została naprawiona w wersjach 20.1.8 i 21.1.2.

W aplikacji Nextcloud Contacts przed wersjami 5.5.4, 6.0.6 i 7.2.5 złośliwy użytkownik mógł zmodyfikować pola organizacji i tytułu, aby załadować dodatkowe pliki CSS. JavaScript i inne opcje były prawidłowo blokowane przez politykę bezpieczeństwa treści serwera Nextcloud. Podatność została naprawiona w wersjach 5.5.4, 6.0.6 i 7.2.5.

Nextcloud Desktop to klient synchronizacji dla Nextcloud. Przed wersją 3.16.5 przy próbie ręcznego zablokowania pliku w katalogu objętym szyfrowaniem end-to-end ścieżka pliku była wysyłana do serwera w postaci niezaszyfrowanej, przez co administratorzy mogli zobaczyć ją w plikach dziennika.

W aplikacji Nextcloud Deck przed wersjami 1.12.7, 1.14.4 i 1.15.1 rozszerzenie pliku może być podszyte za pomocą znaków RTLO, co wprowadza użytkowników w błąd i skłania ich do pobrania plików z innym rozszerzeniem niż wyświetlane. Podatność została naprawiona w wersjach 1.12.7, 1.14.4 i 1.15.1.

Nextcloud Groupfolders udostępnia konfigurowane przez administratora katalogi współdzielone przez wszystkich w grupie lub zespole. Przed wersjami 14.0.11, 15.3.12, 16.0.15, 17.0.14, 18.1.8, 19.1.8 i 20.1.2 użytkownik z uprawnieniami tylko do odczytu może przywrócić plik z kosza.

Aplikacja Nextcloud Approval pozwala oznaczać pliki jako oczekujące na zatwierdzenie w panelu bocznym. Przed wersjami 1.3.1 i 2.5.0 uwierzytelniony użytkownik będący wnioskodawcą w workflow może ustawić cudzy plik w stan "oczekujący na zatwierdzenie" bez dostępu do niego, posługując się numerycznym identyfikatorem pliku.

W aplikacji Nextcloud Mail przed wersją 5.5.3 uwierzytelniony użytkownik mógł wstrzyknąć kod HTML do tematów wiadomości e-mail poprzez trwałe wstrzyknięcie HTML w widoku listy wiadomości. JavaScript był prawidłowo blokowany przez politykę bezpieczeństwa treści serwera Nextcloud.

Nextcloud Calendar to aplikacja kalendarza dla Nextcloud. W wersjach przed 4.7.19, 5.5.6 i 6.0.1 aplikacja pozwalała na rezerwację spotkań przy użyciu sekwencyjnego identyfikatora bez znajomości tokenu rezerwacji. Podatność została naprawiona w wersjach 4.7.19, 5.5.6 i 6.0.1.

Anthropic Sandbox Runtime to lekkie narzędzie do piaskownicy wymuszające ograniczenia systemu plików i sieci na poziomie systemu operacyjnego. W wersjach przed 0.0.16 błąd w logice piaskownicy powodował, że nie egzekwowano ograniczeń sieciowych, gdy polityka piaskownicy nie definiowała żadnych dozwolonych domen, co umożliwiało kodowi w piaskownicy wykonywanie żądań sieciowych poza nią. Poprawka została wydana w wersji 0.0.16.

W Medtronic CareLink Network występuje podatność typu Insecure Direct Object Reference (IDOR), która pozwala uwierzytelnionemu atakującemu z dostępem do określonych informacji o urządzeniu i użytkowniku na wysyłanie żądań do punktu końcowego API, co może ujawnić wrażliwe dane użytkownika. Problem dotyczy CareLink Network przed 4 grudnia 2025.

W JIZHICMS do wersji 2.5.5 zidentyfikowano podatność w nieznanej funkcji pliku /index.php/admins/Comment/addcomment.html w komponencie Comment Handler. Manipulacja argumentem body prowadzi do cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostawca został powiadomiony, ale nie odpowiedział.

W dayrui XunRuiCMS do wersji 4.7.1 wykryto podatność w nieznanej części pliku /admin79f2ec220c7e.php?c=api&m=demo&name=mobile w komponencie Domain Name Binding Page. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie i wymaga wysokiej złożoności.

W dayrui XunRuiCMS do wersji 4.7.1 wykryto podatność w nieznanej funkcjonalności pliku /admind45f74adbd95.php?c=field&m=add&rname=site&rid=1&page=1 w komponencie Add Data Validation Page. Manipulacja argumentem data[name] prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie.

Wtyczka WordPress Timetable and Event Schedule by MotoPress przed wersją 2.4.16 nie weryfikuje, czy użytkownik ma dostęp do konkretnego wydarzenia podczas jego duplikowania. Prowadzi to do ujawnienia dowolnych wydarzeń użytkownikom o roli tak niskiej jak Contributor.

Entrust nShield Connect XC, nShield 5c i nShield HSMi do wersji 13.6.11 lub 13.7 (załataną w 13.6.12 (LTS) i 13.9.0 (STS)) pozwalają fizycznie bliskiemu atakującemu z dostępem root na modyfikację partycji odzyskiwania (Recovery Partition) z powodu braku ochrony integralności.

Entrust nShield Connect XC, nShield 5c i nShield HSMi do wersji 13.6.11 lub 13.7 (załataną w 13.6.12 (LTS) i 13.9.0 (STS)) pozwalają fizycznie bliskiemu atakującemu na modyfikację lub usunięcie zdarzeń naruszenia (tamper events) przez płytę zarządzania obudową (Chassis management board).

Podatność na przechodzenie do innych katalogów (directory traversal) w SOLIDserver IPAM w wersji 8.2.3. Umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami administratora listowanie katalogów poza dozwolonym obszarem za pomocą parametru 'directory' w '/mod/ajax.php?action=sections/list/list'.

W Mattermost w wersjach 10.11.x <= 10.11.4 oraz 10.5.x <= 10.5.12 występuje brak weryfikacji uprawnień użytkownika przy dostępie do plików i subskrypcji bloków w Boards. Uwierzytelniony użytkownik może uzyskać dostęp do plików innych tablic oraz subskrybować bloki z tablic, do których nie ma uprawnień.

Podatność w nutzam NutzBoot do wersji 2.6.0-SNAPSHOT, dotycząca funkcji getInputStream w pliku nutzcloud/nutzcloud-literpc/src/main/java/org/nutz/boot/starter/literpc/impl/endpoint/http/HttpServletRpcEndpoint.java komponentu LiteRpc-Serializer, prowadząca do deserializacji. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.