Katalog podatności CVE

Douyin_TikTok_Download_API do wersji 4.1.2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punktach końcowych /api/download i /api/hybrid/video_data, która pozwala nieuwierzytelnionym atakującym na pobieranie dowolnych adresów URL poprzez podanie parametru url. Atakujący mogą żądać wewnętrznych usług, w tym punktów końcowych metadanych chmury, i odzyskiwać treści odpowiedzi zawierające wrażliwe dane uwierzytelniające poprzez komunikaty błędów.

Blinko 1.8.7 zawiera podatność na obejście autoryzacji (IDOR) w wielu procedurach tRPC (message.list, message.update, message.delete, message.clearAfter w server/routerTrpc/message.ts oraz conversation.clearMessages w server/routerTrpc/conversation.ts). Chociaż te procedury wymagają uwierzytelnienia, odpytywają bazę danych na podstawie identyfikatora rozmowy lub wiadomości dostarczonego przez wywołującego, bez weryfikacji, czy zasób należy do konta żądającego. Każdy uwierzytelniony użytkownik może zatem odczytać pełną historię czatu AI innego użytkownika, modyfikować treść pojedynczych wiadomości oraz usuwać lub czyścić całe rozmowy, wyliczając sekwencyjne identyfikatory całkowite.

firecrawl-mcp-server 3.20.2 zawiera podatność na dowolny odczyt plików lokalnych w narzędziu firecrawl_parse, które akceptuje nieograniczone argumenty filePath bez walidacji zawartości katalogu. Atakujący mogą podać ścieżki bezwzględne lub sekwencje przejść katalogów, aby odczytać wrażliwe pliki, takie jak poświadczenia i zmienne środowiskowe, które są następnie przesyłane i zwracane do kontekstu modelu.

Slink przed wersją 1.12.3 nieprawidłowo autoryzuje dostęp do punktów końcowych komentarzy obrazów, co pozwala nieuwierzytelnionym atakującym na odczyt wątków komentarzy przez GET /api/image/{imageId}/comments oraz subskrypcje server-sent-events. Atakujący, którzy zdobędą identyfikatory obrazów poza pasmem, mogą pobrać pełne wątki komentarzy na publicznych obrazach i subskrybować aktualizacje komentarzy na żywo bez uwierzytelnienia lub kontroli autoryzacji.

Podatność nieefektywnej złożoności algorytmicznej w elixir-mint pozwala zdalnemu serwerowi HTTP na wyczerpanie CPU na hoście klienta i spowodowanie odmowy usługi. Funkcja parse_hex_prefix/2 w lib/mint/http1/parse.ex składa każdą cyfrę szesnastkową pola chunk-size odpowiedzi chunked do akumulatora o dowolnej precyzji bez ograniczenia liczby cyfr, co prowadzi do złożoności O(N^2). Ponieważ akumulator rośnie bez ograniczeń, mnożenie nie jest stałoczasowe, a jeden przebieg po N cyfrach kosztuje O(N^2). handle_data/2 prependuje conn.buffer i ponownie parsuje od początku przy każdej wiadomości socketu, więc serwer, który wysyła cyfry w małych pakietach, powoduje wielokrotne ponoszenie tego kosztu. Około 512 000 cyfr szesnastkowych kosztuje ponad dziesięć sekund CPU w jednym przebiegu. Problem dotyczy mint od 1.9.3 przed 1.10.0.

Podatność na alokację zasobów bez limitów lub ograniczeń w elixir-mint mint pozwala zdalnemu serwerowi HTTP na wyczerpanie pamięci na hoście klienta i spowodowanie odmowy usługi. Dwa stany parsera odpowiedzi HTTP/1 gromadzą dane serwera bez żadnego limitu. W lib/mint/http1.ex, decode_status_line/4 przechowuje nieskonsumowane dane w conn.buffer, gdy linia statusu jest niekompletna, a decode_body/5 robi to samo dla niezakończonej linii rozszerzenia fragmentu. Oba czekają na CRLF, którego serwer nie musi wysyłać, a conn.buffer jest poprzedzany każdą kolejną wiadomością z gniazda. Budżet :max_header_list_size jest podłączony tylko do decode_headers/5 i decode_trailer_headers/4, więc żaden z tych stanów nie jest nim objęty. Złośliwy serwer lub serwer osiągnięty przez kontrolowane przez atakującego przekierowanie lub pobrany adres URL, strumieniuje bajty w nieskończoność, aż węzeł BEAM zostanie zabity przez mechanizm obsługi braku pamięci systemu operacyjnego. Wariant rozszerzenia fragmentu jest osiągany po prawidłowej linii statusu i kompletnym, prawidłowym nagłówku, więc pośrednik sprawdzający tylko nagłówki widzi zwykłą odpowiedź 200. Ten problem dotyczy mint: od 0.1.0 przed 1.10.0.

CP4BA - IBM Enterprise Records może pozwolić lokalnemu atakującemu na uzyskanie wrażliwych informacji z powodu użycia uszkodzonego lub ryzykownego algorytmu kryptograficznego.

IBM App Connect Enterprise oraz IBM Integration Bus for z/OS z adapterem SAP są podatne na atak XML External Entity (XXE). Podatność dotyczy wersji 13.0.1.0 do 13.0.8.1, 12.0.1.0 do 12.0.12.28 oraz 10.1.0.0 do 10.1.0.7.

Acunetix dla Windows zawiera podatność lokalnej eskalacji uprawnień w silniku skanowania podatności WWW (wvsc.exe). Niskouprzywilejowany atakujący może wykorzystać brak twardo zakodowanej ścieżki katalogu dla plików OpenSSL, aby wykonać dowolny kod jako SYSTEM.

Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (cross-site scripting) w programie Library Information and Document Automation Program firmy Yordam pozwala na atak XSS na atrybuty HTML. Problem dotyczy wersji przed v22.2.

GastroMenum Web Panel przed wersją 31.08.2026 zawiera podatność polegającą na obserwowalnej różnicy odpowiedzi, która umożliwia footprinting konta (Account Footprinting).

Możliwe jest wykonanie trwałego XSS w panelu administracyjnym Stormshield. Aby wykorzystać tę podatność, administrator SNS z odpowiednimi uprawnieniami musi wstrzyknąć złośliwy skrypt w komentarze grupy w interfejsie administracyjnym webservices.

Wykryto podatność w valkey-io valkey do wersji 9.5.4/9.1.0. Dotyczy ona funkcji createSlotImportJob w pliku src/cluster_migrateslots.c w komponencie Slot Migration. Manipulacja argumentem job_name prowadzi do odczytu poza zakresem. Atak może być wykonany zdalnie. Exploit jest publiczny i może być użyty. Aktualizacja do wersji 9.0.5 i 9.1.1 rozwiązuje ten problem. Zalecana jest aktualizacja.

Wykryto wadę w code-projects Vehicle Management System 1.0. Dotyczy ona nieznanej funkcji pliku /vehicle_management.sql w komponencie SQL Database Backup File Handler. Wykonanie manipulacji może prowadzić do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.

Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (cross-site scripting) w programie Library Information and Document Automation Program firmy Yordam pozwala na fałszowanie treści (Content Spoofing). Problem dotyczy wersji od v22.1 przed v22.2.

Podatność SQL Injection w Apache Griffin Hive Metastore Module we wszystkich wersjach. Projekt jest wycofany, więc nie planuje się wydania poprawki. Zaleca się znalezienie alternatywy lub ograniczenie dostępu do instancji tylko dla zaufanych użytkowników.

Podatność braku autoryzacji w systemie Gastromenum Ticket and QR Menu System pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji przed 2026.08.31.

Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (cross-site scripting) w systemie Gastromenum Ticket and QR Menu System pozwala na trwały XSS. Problem dotyczy wersji przed 2026.08.31.

Wtyczka LearnDash LMS dla WordPressa do wersji 5.1.5 włącznie zawiera podatność nieograniczonego przesyłania plików. Funkcja 'learndash_fileupload_process' waliduje tylko pierwszy plik z tablicy, co pozwala uwierzytelnionym atakującym z dostępem subskrybenta na przesyłanie niedozwolonych plików, w tym PHP, do katalogu wp-content/uploads/learndash/assignments/.

Actualizer w wersji 1.2.0 i wcześniejszych zawiera podatność polegającą na akceptowaniu nieprawidłowych haseł (fail-open) w skrypcie Shell/debian-minbase-install.sh. Instalator nie sprawdza kodu powrotu polecenia mkpasswd, co może prowadzić do pustych pól haseł dla kont root i alpha.