Katalog podatności CVE

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. W wersjach przed 7.15.1 i 8.9.3 występuje podatność na wstrzykiwanie SQL w mechanizmach uwierzytelniania, gdy włączone jest wsparcie dla katalogów, co pozwala atakującemu na wykonanie dowolnych poleceń SQL.

Kysely, typowo bezpieczny budowniczy zapytań SQL w TypeScript, ma podatność na wstrzyknięcie SQL w wersjach do 0.28.11. Problem dotyczy kompilacji ścieżek JSON dla dialektów MySQL i SQLite, gdzie wartości kontrolowane przez użytkownika są wstawiane bezpośrednio do literałów ścieżek JSON bez odpowiedniego zabezpieczenia.

W interfejsie zarządzania plikami File Browser w wersjach 2.x przed 2.33.8 występuje podatność związana z obsługą przesyłania plików TUS, która nie weryfikuje, czy wartość nagłówka Upload-Length jest nieujemna. Umożliwia to uwierzytelnionemu użytkownikowi przesłanie negatywnej wartości, co prowadzi do wywołania haków exec z pustymi lub częściowymi plikami.

Admidio to otwarte rozwiązanie do zarządzania użytkownikami. W wersjach 5.0.6 i poniżej występuje krytyczna podatność na nieograniczone przesyłanie plików w module Dokumenty i Pliki, umożliwiająca przesyłanie dowolnych typów plików, w tym skryptów PHP, przez uwierzytelnionego użytkownika.

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. W wersjach przed 7.15.1 i 8.9.3, REST API V8 SuiteCRM nie miało odpowiednich kontroli ACL na kilku punktach końcowych, co pozwalało uwierzytelnionym użytkownikom na dostęp i manipulację danymi, do których nie powinni mieć uprawnień.

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. W wersjach do 8.9.2 występuje podatność na niebezpieczną deserializację w komponencie przetwarzania filtrów SavedSearch, która pozwala uwierzytelnionemu administratorowi na wykonywanie dowolnych poleceń systemowych na serwerze.

Aplikacje Spring Boot z włączonym Actuator mogą być podatne na lukę 'obejście uwierzytelnienia', gdy punkt końcowy aplikacji wymagający uwierzytelnienia jest zadeklarowany pod ścieżką używaną przez punkty końcowe Actuator CloudFoundry. Problem ten dotyczy wersji Spring Security od 4.0.0 do 4.0.3, od 3.5.0 do 3.5.11, od 3.4.0 do 3.4.14, od 3.3.0 do 3.3.17 oraz od 2.7.0 do 2.7.31.

LuCI, interfejs konfiguracyjny OpenWrt, zawiera podatność XSS typu stored w modalnym oknie skanowania sieci bezprzewodowej w wersjach przed 24.10.5 i 25.12.0. Wartości SSID z wyników skanowania są renderowane jako surowy HTML bez jakiejkolwiek sanitizacji, co umożliwia atakującemu wstrzyknięcie złośliwego kodu.

Projekt OpenWrt to system operacyjny Linux skierowany na urządzenia wbudowane. W wersjach przed 24.10.6 występuje podatność w funkcji hotplug_call, która pozwala atakującemu na ominięcie filtrowania zmiennych środowiskowych i wstrzyknięcie dowolnej zmiennej PATH, co może prowadzić do eskalacji uprawnień.

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. Przed wersjami 7.15.1 i 8.9.3 występowała podatność na zdalne wykonanie kodu (RCE) w modułach SuiteCRM. Wersje 7.15.1 i 8.9.3 naprawiają ten problem.

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. W wersji 7.15.0 występuje podatność na refleksyjną iniekcję HTML na stronie logowania, co pozwala atakującym na wstrzykiwanie dowolnej treści HTML, umożliwiając ataki phishingowe oraz zniekształcenie strony. Wersja 7.15.1 naprawia ten problem.

SuiteCRM to otwartoźródłowe oprogramowanie do zarządzania relacjami z klientami. W wersjach przed 7.15.1 i 8.9.3 funkcja `retrieve()` w pliku `include/OutboundEmail/OutboundEmail.php` nie neutralizuje poprawnie parametru `$id` kontrolowanego przez użytkownika, co prowadzi do możliwości wykonania ataku SQL injection przez uwierzytelnionego użytkownika.

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. Wersje przed 7.15.1 i 8.9.3 zawierają podatność typu Server-Side Request Forgery (SSRF) połączoną z warunkiem Denial of Service (DoS) w komponencie RSS Feed Dashlet. Wersje 7.15.1 i 8.9.3 naprawiają ten problem.

SuiteCRM to otwartoźródłowa aplikacja do zarządzania relacjami z klientami. W wersjach przed 7.15.1 i 8.9.3, parametr `field_function` z danych POST jest zapisywany bez walidacji w tabeli `aor_fields`, co prowadzi do drugorzędnej podatności na wstrzyknięcie SQL przy wykonywaniu raportów.

Aplikacje Spring Boot z włączonym Actuatorem mogą być podatne na lukę 'obejście uwierzytelnienia', gdy punkt końcowy aplikacji wymagający uwierzytelnienia jest zadeklarowany pod określoną ścieżką, która jest już skonfigurowana dla dodatkowej ścieżki Grupy Zdrowia. Problem ten dotyczy wersji Spring Boot: od 4.0 przed 4.0.3, od 3.5 przed 3.5.11, od 3.4 przed 3.4.15.

W ingress-nginx odkryto problem bezpieczeństwa, który pozwala na wstrzyknięcie konfiguracji do nginx za pomocą kombinacji adnotacji Ingress. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia tajemnic dostępnych dla kontrolera.

SiYuan to system zarządzania wiedzą osobistą. W wersjach 3.6.0 i poniżej, punkt końcowy WebSocket (/ws) pozwala na nieautoryzowane połączenia przy użyciu określonych parametrów URL, co umożliwia zewnętrznym klientom, w tym złośliwym stronom, połączenie i odbieranie wszystkich zdarzeń push serwera w czasie rzeczywistym.

Wersje OpenClaw przed 2026.2.21 zawierają podatność na obejście uwierzytelniania w interfejsie sterowania, gdy opcja allowInsecureAuth jest włączona, a brama jest wystawiona na niezaszyfrowanym HTTP. Umożliwia to atakującym ominięcie weryfikacji tożsamości urządzenia i parowania.

Wersje OpenClaw przed 2026.2.22 zawierają podatność na wykonanie dowolnych poleceń w powłoce, wynikającą z zaufania do niezweryfikowanej ścieżki SHELL z hosta. Atakujący z dostępem do lokalnego środowiska może wstrzyknąć złośliwą zmienną SHELL, co pozwala na wykonanie dowolnych poleceń z uprawnieniami procesu OpenClaw.

Wersje OpenClaw przed 2026.2.19 zawierają podatność na przejście ścieżki w funkcji stageSandboxMedia, która akceptuje dowolne absolutne ścieżki, gdy włączone jest pobieranie zdalnych załączników iMessage. Atakujący, który może manipulować metadanymi ścieżki załącznika, może ujawnić pliki dostępne dla procesu OpenClaw na skonfigurowanym zdalnym hoście za pomocą SCP.