Katalog podatności CVE

SiYuan przed wersją v3.8.2 zawiera podatność na odmowę usługi w nieuwierzytelnionym punkcie końcowym /api/system/uiproc, który akceptuje i przechowuje identyfikatory procesów kontrolowane przez atakującego bez limitów rozmiaru i uwierzytelniania. Atakujący mogą wysyłać powtarzane żądania z unikalnymi identyfikatorami, wyczerpując pamięć procesu i pogarszając dostępność usługi.

SiYuan przed wersją v3.8.2 zawiera podatność na obejście ochrony ścieżek w handlerze dostępu do plików MCP, który używa porównań uwzględniających wielkość liter na systemach plików Linux. Atakujący mogą odczytać chroniony plik publishAccess.json, żądając ścieżek z różną wielkością liter, np. PublishAccess.json, co ujawnia poufną konfigurację i metadane dostępu do publikacji.

SiYuan zawiera podatność na ujawnienie informacji w punkcie końcowym POST /api/transactions/undoState, dostępnym dla czytelników. Punkt końcowy zwraca listę peekMutatedRootIDs z globalnego stosu cofania dla podanego root ID bez filtrowania widoczności publikacji. Uwierzytelniony czytelnik, znając root ID widocznego dokumentu, może uzyskać wewnętrzne root ID innych dokumentów (w tym prywatnych lub nieopublikowanych) zmodyfikowanych w tej samej transakcji, ujawniając wewnętrzne identyfikatory i relacje między dokumentami. Treść dokumentów nie jest bezpośrednio ujawniana.

SiYuan do wersji 3.8.1 zawiera podatność na obejście autoryzacji w punkcie końcowym /api/file/getFile, która pozwala czytelnikom pobierać pliki z notatników skonfigurowanych jako Visible:false. Atakujący z rolą czytelnika mogą uzyskać dostęp do prywatnych plików obszaru roboczego, w tym metadanych notatników i wewnętrznej konfiguracji, znając ukryty identyfikator notatnika i ścieżkę pliku.

AVideo do commitu c91b5975d zawiera podatność na odzwierciedlone XSS w pliku userLogin.php, która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego JavaScriptu przez zamknięcie tagu script za pomocą </script>. Atakujący mogą stworzyć złośliwy URL z parametrem error zawierającym sekwencje przełamania skryptu, aby wykonać dowolny JavaScript w kontekście przeglądarki ofiary na stronie logowania.

Podatność w Menulux Portal przed wersją 20260903211448 umożliwia obserwację różnic w odpowiedziach, co pozwala na footprinting konta (zbieranie informacji o kontach).

Podatność w Menulux Portal przed wersją 20260903211448 polega na przechowywaniu hasła w postaci jawnego tekstu, co umożliwia odzyskanie osadzonych wrażliwych danych.

Menulux Portal firmy Menulux Software Inc. ma podatność na brak autoryzacji, która pozwala na dostęp do funkcji nieprawidłowo ograniczonych przez listy kontroli dostępu (ACL). Problem dotyczy wersji przed 20260903211448.

Menulux Portal firmy Menulux Software Inc. ma podatność na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej. Problem dotyczy wersji przed 20260903211448.

W bibliotece libsoup wykryto podatność związaną z brakiem kontroli granic podczas przesyłania treści żądania HTTP/2 z nieodpytywalnego strumienia wejściowego. Złośliwy serwer HTTP/2 może zmniejszyć rozmiar okna przepływu (SETTINGS_INITIAL_WINDOW_SIZE) podczas trwającego buforowanego odczytu, co prowadzi do skopiowania pełnego bufora do mniejszego wywołania zwrotnego DATA bez kontroli granic, co może przerwać działanie procesu lub spowodować niepowodzenie sesji HTTP/2.

W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto lukę bezpieczeństwa. Podatność dotyczy nieznanego kodu w pliku /admin/session.php. Manipulacja argumentem ID prowadzi do braku autoryzacji. Atak może być wykonany zdalnie. Exploit został opublikowany i może być wykorzystany do ataków.

W fastify przed wersją 5.12.2 implementacja niewrażliwości na wielkość liter w nazwach nagłówków HTTP polega na zamianie nazw na małe litery w schemacie nagłówków trasy przed kompilacją, ale transformacja jest niekompletna: zamienia na małe litery klucze właściwości i tablicę required na poziomie głównym, ale nie zamienia nazw trigger i dependent wewnątrz słowa kluczowego dependencies w JSON Schema Draft 7. Ponieważ Node przechowuje nazwy nagłówków żądań małymi literami, zależność w formacie kanonicznym, np. wymagająca nagłówka uwierzytelniającego, gdy obecny jest nagłówek trybu uprzywilejowanego, nigdy nie jest spełniona, a asercja obecności jest po cichu pomijana. Nieuwierzytelniony zdalny klient może zatem wysłać nagłówek aktywujący uprzywilejowaną gałąź, pomijając nagłówek, którego zależność miała wymagać, obchodząc warunkowe sprawdzenie.

Wtyczka E-cab Taxi Booking Manager dla WooCommerce przed wersją 2.0.5 nie weryfikuje po stronie serwera wartości dystansu i ceny bazowej podawanych przez klienta podczas wyceny rezerwacji. Pozwala to nieuwierzytelnionym atakującym manipulować całkowitą kwotą zamówienia do zera i składać rzeczywiste zamówienia taksówek po dowolnej cenie.

Podatność Path Traversal w punkcie końcowym builder w Google Cloud Agent Development Kit (ADK) w wersjach 1.9.0 do 1.21.0 w Pythonie pozwala nieuwierzytelnionemu zdalnemu atakującemu na odczyt dowolnych plików przy użyciu spreparowanego parametru zapytania file_path.

Podatność Brak autoryzacji w HTTP Connector w Google Cloud Integration Connectors przed 2025-12-11 na Google Cloud Platform pozwala uwierzytelnionemu użytkownikowi na eskalację uprawnień i przejęcie projektu Google Cloud poprzez nieautoryzowane dołączenie konta usługi. Podatność została załatana 11 grudnia 2025, nie jest wymagane działanie klienta.

Wtyczka JetPopup od Crocoblock zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.0.20.2 włącznie.

W MISP wykryto podatność CSRF (Cross-Site Request Forgery), wynikającą z wyłączania zabezpieczeń formularzy i ochrony CSRF dla żądań identyfikowanych jako REST. Identyfikacja REST może być manipulowana przez właściwości żądania, takie jak nagłówek Accept, co pozwala atakującemu na wysyłanie żądań z innej domeny bez preflight CORS. W rezultacie MISP wyłącza ochronę CSRF dla żądań uwierzytelnionych sesją przeglądarki ofiary.

MISP zawiera podatność CSRF w funkcji szybkiej edycji grup udostępniania. Akcje addOrg, removeOrg, addServer i removeServer współdzielą pomocnik __initialiseSGQuickEdit(), gdzie walidacja metody HTTP mająca ograniczyć te operacje do żądań POST została zakomentowana. W rezultacie te zmieniające stan akcje mogły być wywoływane za pomocą żądań GET. Atakujący może spreparować URL i spowodować, że uwierzytelniony użytkownik MISP z odpowiednimi uprawnieniami go otworzy, co może zmodyfikować członkostwo w grupie udostępniania bez intencji ofiary.

DreamMaker firmy Interinfo zawiera podatność Reflected Cross-site Scripting. Zautentykowani zdalni atakujący mogą wykonać dowolny kod JavaScript w przeglądarce użytkownika za pomocą złośliwej strony internetowej.

DreamMaker opracowany przez Interinfo ma podatność SQL Injection. Uwierzytelnieni zdalni atakujący mogą wstrzykiwać dowolne polecenia SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.