Katalog podatności CVE

CyberPanel przed wersją 3.0.0 zawiera twardo zakodowany sekret JWT w usłudze SSH WebTerminal FastAPI, co pozwala nieuwierzytelnionym zdalnym atakującym na tworzenie ważnych tokenów uwierzytelniających i uzyskanie interaktywnej powłoki root przez WebSocket na porcie 8888. Atakujący mogą sfałszować token JWT podpisany twardo zakodowanym sekretem, określając ssh_user=root, aby uwierzytelnić się w usłudze terminala bez żadnych ważnych poświadczeń i otrzymać powłokę root.

Dwie podatności SSRF w migracji/mirrorowaniu Gitea (DNS rebinding + brak ponownej walidacji).

Tokeny repozytorium tylko do odczytu mogą aktualizować prywatne gałęzie head PR.

Endpoint łączący repozytorium z zespołem omija ustawienie organizacji RepoAdminChangeTeamAccess. Oznacza to, że użytkownik bez odpowiednich uprawnień może zmienić przypisanie repozytorium do zespołu.

Kradzież tokena „Remember-Me” w Gitea nie unieważnia sesji atakującego, co pozwala na dalszy nieautoryzowany dostęp.

Podatność umożliwia eskalację uprawnień poprzez rozszerzenie zakresu tokena dostępu w API.

Token o zakresie public-only może ominąć ograniczenia dla właścicieli o ograniczonej widoczności (kategorie Repozytorium i Pakiet) — pozostałość po CVE-2026-25714 / PR #37118.

Endpoint userinfo w OIDC zwraca dane tożsamości bez egzekwowania zakresów tokenów API.

Form::Processor::Field::HtmlArea dla Perla (wersje od 0.06 do 1.162360) pozwala atakującemu na wybór metody dispatch i wyczerpanie zasobów przez diagnostykę HTML::Tidy, którą validate przekazuje do add_error jako szablon Locale::Maketext. Atakujący może wysłać spreparowany znacznik, powodując nieobsłużony wyjątek lub nadmierną alokację pamięci.

Podatność w HTML::FormHandler przed wersją 0.410000 dla Perla pozwala atakującemu na wybór metody i wyczerpanie zasobów. Dzieje się tak, ponieważ funkcje _apply_actions i add_error używają tekstu błędów z danych żądania jako szablonu notacji Locale::Maketext, co może prowadzić do wykonania niebezpiecznych metod lub alokacji pamięci.

Ninja Tables Pro 5.2.11 zawiera podatność związaną z wbudowanym złośliwym kodem, wprowadzonym przez zmodyfikowaną kompilację wtyczki serwowaną przez wycofany serwer aktualizacji. Zmodyfikowana kompilacja dodała złośliwy plik PHP (app/Library/updater/NinjaTableDataSync.php), który utworzył backdoor REST API, umieścił trwałe pliki PHP w katalogach mu-plugins i uploads, zainstalował konto administratora bez hasła oraz zarejestrował zaplanowane zadania, które przetrwały usunięcie wtyczki.

Fluent Forms Pro 6.2.7 zawiera podatność związaną z wbudowanym złośliwym kodem, wprowadzonym przez zmodyfikowaną kompilację wtyczki serwowaną przez wycofany serwer aktualizacji. Zmodyfikowana kompilacja dodała złośliwy plik PHP (libs/class-license-sync.php), ładowany przez dyrektywę require_once dodaną do fluentformpro.php, który utworzył backdoor REST API, umieścił trwałe pliki PHP w katalogach mu-plugins i uploads, zainstalował konto administratora bez hasła oraz zarejestrował zaplanowane zadania, które przetrwały usunięcie wtyczki.

Demon rsync przed wersją 3.5.0 zawiera podatność na fałszowanie adresu IP, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć kontrolę dostępu opartą na adresie IP poprzez wysłanie spreparowanego nagłówka PROXY protocol ze sfałszowanym adresem źródłowym. Atakujący, którzy mogą połączyć się bezpośrednio z demonem rsync, mogą wstrzyknąć sfałszowany źródłowy adres IP w nagłówku PROXY protocol, aby ominąć reguły hosts allow/deny, uzyskując nieautoryzowany dostęp, który w przeciwnym razie byłby zablokowany na podstawie ich rzeczywistego adresu źródłowego.

Wtyczka Nokri w wersjach do 1.6.6 zawiera podatność polegającą na nieuwierzytelnionym złamaniu kontroli dostępu (Broken Access Control). Oznacza to, że osoba atakująca bez logowania może uzyskać dostęp do funkcji lub danych, które powinny być chronione.

Wtyczka Church Admin w wersjach do 5.1.1 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL (SQL Injection). Osoba atakująca bez logowania może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.

Wtyczka Everest Backup w wersjach do 2.3.12 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL (SQL Injection). Osoba atakująca bez logowania może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.

Wtyczka Cartify w wersjach do 1.3.0.1 zawiera podatność na nieuwierzytelnione złamanie uwierzytelniania (Broken Authentication). Osoba atakująca bez logowania może obejść mechanizmy uwierzytelniania i uzyskać dostęp do kont użytkowników lub administratorów.

Wtyczka RealPress w wersjach do 1.1.2 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL (SQL Injection). Osoba atakująca bez logowania może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.

Wtyczka Salon booking system w wersjach do 10.30.26 zawiera podatność na nieuwierzytelnione złamanie uwierzytelniania (Broken Authentication). Osoba atakująca bez logowania może obejść mechanizmy uwierzytelniania i uzyskać dostęp do kont użytkowników lub administratorów.

Wtyczka If-So Dynamic Content Personalization w wersjach do 1.10 zawiera podatność na wstrzyknięcie SQL (SQL Injection) z poziomu subskrybenta. Osoba atakująca z kontem subskrybenta może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.