Katalog podatności CVE

FastChat zawiera podatność na ominięcie uwierzytelniania w punkcie końcowym /register_worker, która pozwala nieuwierzytelnionym atakującym rejestrować dowolne adresy workerów i przeprowadzać ataki SSRF. Atakujący mogą rejestrować złośliwych workerów pod nazwami modeli ofiar, aby przechwytywać prompty, obrazy i odpowiedzi użytkowników lub skanować wewnętrzne porty sieciowe.

LaVague 0.2.35 zawiera podatność na zdalne wykonanie kodu w PythonFromMarkdownExtractor.extract_as_object, która ocenia niezaufane dane wyjściowe modelu językowego pochodzące z treści stron internetowych. Atakujący mogą wstrzyknąć złośliwy kod Pythona przez strony internetowe za pomocą pośredniego wstrzyknięcia promptu, aby wykonać dowolny kod na hoście operatora bez przeglądu.

Chatbot UI zawiera podatność na ominięcie autoryzacji w punkcie końcowym wyszukiwania, która pozwala uwierzytelnionym atakującym na dostęp do prywatnych treści plików innych użytkowników poprzez podanie dowolnych identyfikatorów UUID plików. Punkt końcowy używa klienta Supabase z rolą usługi, który omija zabezpieczenia na poziomie wierszy i nie sprawdza własności plików, umożliwiając atakującym pobieranie indeksowanych fragmentów treści z plików ofiar poprzez spreparowane żądania POST.

Nightingale (n9e), w stanie na commit 8362cbe (gałąź główna, potwierdzony 2026-08-27), zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji isPublicIP w aiagent/tools/http.go, która jest zabezpieczeniem SSRF dla narzędzia http_fetch agenta AI. Funkcja rozwija tylko standardowe adresy IPv6 z mapowaniem IPv4 (::ffff:a.b.c.d) przed sprawdzeniem ich na liście zabronionych zakresów i nie klasyfikuje adresów 6to4 (2002::/16), NAT64 (64:ff9b::/96, 64:ff9b:1::/48) ani przestarzałych adresów site-local (fec0::/10). Na hoście z podwójnym stosem lub z włączonym NAT64 atakujący, który może dostarczyć URL do narzędzia http_fetch, może ominąć zabezpieczenie, kodując zabroniony adres IPv4 (taki jak punkt końcowy metadanych instancji chmury 169.254.169.254) w jednej z tych form IPv6, aby uzyskać dostęp do wewnętrznych lub metadanych usług.

MegaParse 0.0.55 zawiera nieuwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym POST /v1/url, który pobiera adresy URL dostarczone przez wywołującego po stronie serwera. Atakujący mogą bez uwierzytelnienia podać adresy URL wewnętrznych usług lub punktów końcowych metadanych, aby odczytać ich odpowiedzi bezpośrednio z odpowiedzi JSON.

Plandex 2.2.1 zawiera podatność na przechodzenie poza katalog (path traversal) w funkcji ApplyFiles, która umożliwia atakującym zapisywanie plików poza katalogiem projektu. Atakujący mogą wpływać na dane wyjściowe modelu poprzez zatrute pliki repozytorium lub kontekst kontrolowany przez atakującego, aby zapisywać w dowolnych lokalizacjach, takich jak pliki rc powłoki lub cron, osiągając wykonanie kodu.

llmware 0.4.6 zawiera podatność na wstrzyknięcie SQL w warstwie bazy danych kolekcji (llmware/resources.py), gdzie wartości filtrów i wyszukiwań są bezpośrednio interpolowane do klauzul SQL WHERE bez parametryzacji lub escapowania, zarówno w backendach SQLite, jak i PostgreSQL. Walidator filtrów sprawdza tylko klucze względem listy dozwolonych i nigdy nie oczyszcza wartości. Wartości filtrów kontrolowane przez atakującego, które docierają do publicznego API przez Library.block_lookup oraz Query.text_query_with_custom_filter / text_query_by_author_or_speaker, mogą zneutralizować zamierzony filtr, aby ujawnić wiersze, do których wywołujący nie miał dostępu (ujawnienie między dokumentami/kolekcjami); w PostgreSQL błąd umożliwia wstrzyknięcie SQL oparte na boolean i UNION.

TEN Framework 0.11.71 zawiera nieuwierzytelnione podatności na dowolny odczyt i zapis plików w punktach końcowych API TMAN Designer file-content. Atakujący mogą wysyłać żądania POST i PUT do /api/designer/v1/file-content, aby czytać dowolne pliki lub zapisywać złośliwą treść do ścieżek systemowych, co umożliwia wykonanie kodu przez authorized_keys, pliki cron lub pliki wykonywalne grafów.

Serwer zrzutów ekranu surya 0.22.1 zawiera nieuwierzytelnioną podatność na odczyt dowolnych plików w trasach /info, /page i /process, które akceptują surowe parametry file_path. Atakujący mogą odczytać dowolny obraz lub plik PDF na hoście, podając dowolne ścieżki plików do Image.open lub pypdfium2.PdfDocument, uzyskując renderowaną zawartość jako base64 i używając /info jako wyroczni istnienia.

ms-swift 4.5.2 zawiera podatność na fałszerstwo żądań po stronie serwera (SSRF) w interfejsie API zgodnym z OpenAI do wdrażania, który pobiera multimedia z adresów URL bez walidacji lub filtrowania przekierowań. Nieuwierzytelnieni atakujący mogą podać dowolne parametry image_url, audio_url lub video_url, aby serwer wysyłał żądania do wewnętrznych usług i punktów końcowych metadanych chmury.

AgentScope do wersji 2.0.7.post1 zawiera podatność na przechodzenie po ścieżkach w LocalWorkspace.add_skill, która kopiuje dowolne katalogi serwera do przestrzeni roboczej agenta poprzez nieskonfigurowany parametr ścieżki źródłowej. Atakujący mogą podać dowolną ścieżkę katalogu w parametrze skill_path, aby skopiować pliki do katalogu umiejętności, czyniąc je dostępnymi przez listę umiejętności.

marker do wersji 2.0.0 zawiera podatność na traversal ścieżek w handlerze FastAPI /marker/upload, który nie sanityzuje parametru file.filename. Nieuwierzytelnieni atakujący mogą dostarczać nazwy plików zawierające sekwencje traversal, aby zapisywać dowolne pliki w dowolnej lokalizacji lub usuwać istniejące pliki w systemie.

Dub zawiera podatność otwartego przekierowania w parametrze zapytania redir_url, który jest akceptowany na każdym krótkim linku bez walidacji lub listy dozwolonych domen. Atakujący mogą dodać parametr redir_url do dowolnego krótkiego linku, aby przekierować odwiedzających na dowolne zewnętrzne adresy URL przez zaufaną domenę Dub, omijając czarne listy docelowe i potencjalnie umożliwiając ataki phishingowe z włączonym maskowaniem linków.

OWL's DocumentProcessingToolkit zawiera podatność na fałszerstwo żądań po stronie serwera (SSRF) w narzędziu extract_document_content, które pobiera adresy URL dostarczone przez wywołującego bez filtrowania schematu, hosta lub adresu IP. Atakujący mogą wstrzykiwać złośliwe adresy URL przez wstrzykiwanie promptów, aby serwer pobierał wewnętrzne zasoby, a odpowiedzi są zwracane do kontekstu agenta.

aider (aider-chat) automatycznie ładuje plik konfiguracyjny .aider.conf.yml z katalogu głównego repozytorium git, w którym jest uruchamiany. Złośliwe repozytorium może ustawić test-cmd (wykonywany przy starcie) lub lint-cmd (wykonywany przy pierwszej edycji pliku), które aider uruchamia przez powłokę (subprocess z shell=True) bez potwierdzenia użytkownika, interakcji z LLM lub klucza API. W rezultacie użytkownik, który klonuje i uruchamia aider w repozytorium dostarczonym przez atakującego, może wykonać dowolne polecenia na swojej maszynie.

LLaMA-Factory zawiera podatność na fałszerstwo żądań po stronie serwera (SSRF) w interfejsie API zgodnym z OpenAI do obsługi adresów URL multimediów, która pozwala nieuwierzytelnionym atakującym ominąć walidację SSRF. Funkcja check_ssrf_url waliduje adresy URL tylko raz, ale requests.get podąża za przekierowaniami i ponownie rozwiązuje DNS bez ponownej walidacji, co umożliwia atakującym użycie przekierowań HTTP lub ponownego wiązania DNS do uzyskania dostępu do wewnętrznych adresów i punktów końcowych metadanych chmury.

zerox 1.1.20 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w mechanizmie pobierania plików, gdzie rozszerzenie tymczasowego pliku pochodzące z URL dokumentu jest interpolowane bez sanityzacji do poleceń powłoki wykonywanych przez narzędzia poppler. Atakujący mogą tworzyć URL dokumentów ze złośliwymi rozszerzeniami zawierającymi składnię podstawiania poleceń, aby wykonać dowolne polecenia OS przed przetworzeniem dokumentu.

QAnything 2.0.0 zawiera podatność na ominięcie uwierzytelniania w punktach końcowych /api/local_doc_qa/get_file_base64 i /api/local_doc_qa/get_doc, która pozwala nieuwierzytelnionym atakującym uzyskać dostęp do dowolnych przesłanych plików lub dokumentów. Atakujący mogą enumerować identyfikatory plików przez nieuwierzytelnione punkty końcowe i pobierać pliki zakodowane w base64 lub fragmenty przetworzonych dokumentów bez weryfikacji własności, ujawniając zawartość baz wiedzy między dzierżawcami.

tokenizers (Hugging Face) jest dotknięty dostępem do bufora poza zakresem w BpeBuilder::build (tokenizers/src/models/bpe/model.rs). Podczas ładowania tokenizer.json przez Tokenizer::from_file/from_str, builder rozmiaruje bufor pomocniczy do najdłuższego klucza słownictwa, a następnie zapisuje do niego każdą skonkatenowaną regułę scalania. Scalanie, którego skonkatenowany token przekracza najdłuższy klucz słownictwa, powoduje przepełnienie bufora, co w Rust zamienia się w panic, który przerywa proces w Rust i osadzeniach FFI. Występuje to w czasie ładowania, bez potrzeby kodowania, więc atakujący, który dostarczy spreparowany tokenizer.json, może spowodować odmowę usługi. Drugorzędna wada w tym samym miejscu może spowodować niedomiar usize (panic w debug, potencjalne uszkodzenie pamięci w release), gdy ustawiony jest continuing_subword_prefix, a token scalania jest krótszy niż prefiks. Zaobserwowano w wersji 0.23.1.

potpie do wersji 2.0.0 nie weryfikuje własności użytkownika na punkcie końcowym POST /conversations/{conversation_id}/code-changes/sync. Uwierzytelnieni atakujący mogą zapisywać dowolne zmiany plików w rozmowach innych użytkowników, podając ich identyfikatory rozmów, co umożliwia nieautoryzowaną modyfikację oczekujących zmian.