Katalog podatności CVE

Nginx UI przed wersją 2.4.1 nie stosuje RequireSecureSession do wielu uwierzytelnionych tras mutacji, mimo że użytkownicy z włączonym OTP powinni przedstawić świeży X-Secure-Session-ID do wrażliwych działań. Wykradziona uwierzytelniona sesja może zatem tworzyć lub zmieniać automatyczne kopie zapasowe, dane uwierzytelniające i rekordy DNS, certyfikaty i użytkowników ACME, ustawienia sterowania Nginx oraz automatyzację site lub stream bez ukończenia kroku OTP lub passkey. Problem naprawiono w wersji 2.4.1.

Nginx UI przed wersją 2.4.1, endpoint POST /api/users/:id umożliwia uwierzytelnionemu użytkownikowi zmianę hasła innego użytkownika bez przejścia RequireSecureSession, mimo że ścieżka samodzielnej zmiany hasła wymaga tego kroku. Atakujący z uwierzytelnionym kontem może zmienić hasło początkowego administratora, unieważnić istniejące tokeny administratora, a następnie uwierzytelnić się jako administrator. Problem naprawiono w wersji 2.4.1.

Nginx UI przed wersją 2.4.1, POST /api/otp_enroll i POST /api/finish_passkey_register są zarejestrowane poza RequireSecureSession i akceptują normalną uwierzytelnioną sesję bez weryfikacji bieżącego hasła. Atakujący z wykradzionym JWT może powiązać kontrolowany przez siebie sekret TOTP, gdy ofiara nie włączyła jeszcze TOTP, lub zarejestrować kontrolowany passkey, ponieważ ta ścieżka nie ma odpowiedniego zabezpieczenia istniejącej rejestracji. Te zmiany tworzą trwały dostęp do konta, który może przetrwać zmianę hasła i zakłócić uwierzytelnianie prawowitego użytkownika. Problem naprawiono w wersji 2.4.1.

IBM Maximo AI Service w wersjach 9.1.0 i 9.2.0 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi z powodu nieprawidłowej walidacji danych wejściowych.

Komponent IoT w IBM Maximo Application Suite w wersjach 9.2.0, 9.1.0 i 9.0.0 zawiera podatność pozwalającą zdalnemu atakującemu wywołać odmowę usługi. Przyczyną jest nieskończona pętla parsowania podczas przetwarzania określonych danych wejściowych.

Portal del Hermano (portaldelhermano.es) przed 2026-10-06 zawiera podatność złamanej autoryzacji w procesie odzyskiwania hasła na endpointach POST /password/create-access i POST /password/email. Brak limitu prób oraz różne komunikaty błędów działające jak wyrocznie dla czterech czynników weryfikacji tożsamości (DNI, data urodzenia, numer telefonu, ostatnie cztery cyfry IBAN) pozwalają nieuwierzytelnionemu atakującemu przejąć dowolne konto członka we wszystkich dzierżawach.

Komponent Location Service for Esri w IBM Maximo Application Suite w wersjach 9.2, 9.1 i 9.0 jest podatny na niewłaściwą walidację danych wejściowych z powodu nieoczyszczonego odwołania do obrazu kontenera w szablonie operatora Kubernetes.

Komponent Location Service for Esri w IBM Maximo Application Suite w wersjach 9.2, 9.1 i 9.0 jest podatny na wstrzyknięcie poleceń z powodu niewłaściwego oczyszczenia wartości kontrolowanej przez użytkownika przekazywanej do polecenia powłoki w zadaniu operatora Kubernetes.

Komponent Location Service for Esri w IBM Maximo Application Suite w wersjach 9.2, 9.1 i 9.0 jest podatny na niezamierzony ruch wychodzący z sieci z powodu błędnie skonfigurowanej polityki NetworkPolicy w Kubernetes.

Komponent Location Service for Esri w IBM Maximo Application Suite w wersjach 9.2, 9.1 i 9.0 jest podatny na niewłaściwą kontrolę dostępu z powodu definicji Custom Resource Definition bez schematu.

sandboxed.sh do wersji 1.3.0 zawiera podatność ucieczki z kontenera, która pozwala kodowi w obszarach roboczych kontenera uzyskać dostęp do systemu plików hosta, ponieważ nsenter jest dołączany bez opcji --root. Kod uruchamiany przez agenta w kontenerze może rozwiązywać ścieżki absolutne na hoście, aby czytać i modyfikować pliki hosta, omijając udokumentowaną izolację.

Shaark w wersjach od 1.2.13 do 1.2.44 zawiera podatność braku autoryzacji w kontrolerach API Link, Story, Chest i Album, która pomija sprawdzanie własności. Uwierzytelnieni użytkownicy niebędący administratorami mogą wysyłać żądania PUT lub DELETE do /api/{link,story,chest,album}/{id} z numerycznymi identyfikatorami, aby nadpisać lub usunąć treści innych użytkowników, w tym elementy prywatne.

Rapyd Admin od wersji 9.0.0 przed 9.20.0 zawiera podatność niewłaściwego zarządzania uprawnieniami w komponencie Livewire UsersEdit, która pozwala użytkownikom z uprawnieniem edycji użytkowników przypisać sobie rolę administratora. Atakujący posiadający role takie jak domyślna rola operatora może przesłać identyfikator roli administratora dla własnego konta, znosząc ograniczenia dzierżawy, omijając autoryzację na poziomie rekordów i umożliwiając podszywanie się.

N3.js przed wersją 2.11.1 zawiera podatność odmowy usługi przez wyrażenie regularne w wzorcu liczb N3Lexer, który cofa się kwadratowo na długich ciągach cyfr. Atakujący może dostarczyć niezaufane dane wejściowe Turtle lub N3 zawierające długie ciągi cyfr, które nie kończą liczby, blokując pętlę zdarzeń Node.js i powodując odmowę usługi.

Continue CLI (@continuedev/cli) do wersji 1.5.47 zawiera podatność obejścia uprawnień, która umożliwia atakującym uruchamianie niezatwierdzonych poleceń poprzez łączenie ich z dozwolonymi regułami prefiksów Bash. Atakujący mogą wstrzykiwać instrukcje do plików repozytorium lub pobranych stron, tak aby agent dodawał polecenia po ;, && lub | i wykonywał kod jako użytkownik.

EdgeEver Desktop od 1.6.26 do 1.112.0 zawiera podatność obejścia listy dozwolonych nawigacji, która umożliwia atakującym ładowanie dowolnych źródeł w głównym oknie poprzez dopasowywanie prefiksów URL. Atakujący mogą osadzić link z użyciem składni userinfo po prefiksie dev-server, na przykład w podglądzie szablonu notatki, aby uzyskać mostek edgeeverDesktop, w tym token sesji, RPC sidecar i kanały ACP.

EdgeEver od 1.6.0 do 1.112.0 zawiera podatność przechowywanego skryptu między witrynami (XSS) w TemplatesPane.tsx, która renderuje contentMarkdown szablonu z surowym HTML przez dangerouslySetInnerHTML bez sanityzacji. Atakujący mogą tworzyć szablony zawierające procedury obsługi zdarzeń HTML przez API lub token MCP, aby uruchomić skrypt w podglądzie i uzyskać dostęp do uprzywilejowanego mostka window.edgeeverDesktop.

EdgeEver do wersji 1.112.0 zawiera podatność przechowywanego skryptu między witrynami (XSS) w setMemoDragPreview, która umożliwia atakującym wstrzyknięcie skryptu przez nazwy notatników lub tytuły notatek. Atakujący mogą ustawić złośliwe nazwy przez narzędzia MCP create_notebook, rename_notebook lub create_memo, uruchamiając skrypt podczas przeciągania z dostępem do tokena sesji mostka desktopowego.

EdgeEver Desktop od 1.92.0 do 1.112.0 zawiera podatność zdalnego wykonania kodu w procedurze IPC desktop:acp-probe, która nie sprawdza nadawcy i uruchamia plik wykonywalny podany w input.path. Atakujący z możliwością wykonania skryptu w rendererze, na przykład przez przechowywany XSS w podglądzie szablonu lub przeciąganiu, mogą wywołać probeAcpAdapter, aby uruchomić lokalne pliki wykonywalne z uprawnieniami użytkownika.

Telegram-Stremio do wersji 5.1.0 zawiera podatność niebezpiecznego przechowywania, która umożliwia atakującym z dostępem do bazy danych MongoDB, kopii zapasowych lub logów odzyskanie uwierzytelnionego ciągu sesji Telegram operatora, chronionego tylko bezkluczowym, odwracalnym kodowaniem, a nie prawdziwym szyfrowaniem. Atakujący mogą przepuścić przechowywaną wartość przez funkcję decode_string repozytorium bez tajnego klucza, aby uzyskać w pełni uwierzytelnioną sesję Telegram, dającą całkowitą kontrolę nad kontem operatora, nawet przy włączonej weryfikacji dwuetapowej.