Katalog podatności CVE

Nodemailer przed wersją 8.0.8 wyłącza weryfikację certyfikatów TLS w pliku lib/fetch/index.js przez ustawienie rejectUnauthorized: false, co umożliwia atakującym przechwycenie żądań tokenów OAuth2. Atakujący w pozycji man-in-the-middle mogą przechwycić sekrety klienta OAuth, tokeny odświeżania i tokeny dostępu przesyłane przez skompromitowane połączenia HTTPS.

Nodemailer przed wersją 8.0.9 nie sanityzuje znaków powrotu karetki i nowej linii w polach komentarzy list, co umożliwia atakującym wstrzyknięcie dowolnych nagłówków wiadomości. Atakujący kontrolujący parametry list.*.comment może wstrzyknąć sekwencje CRLF, tworząc dodatkowe nagłówki w generowanych wiadomościach RFC822, co zmienia zachowanie klienta poczty i semantykę wiadomości.

Nodemailer przed wersją 8.0.9 nie egzekwuje opcji disableFileAccess i disableUrlAccess podczas normalizacji wiadomości w jsonTransport. Atakujący mogą odczytywać lokalne pliki lub pobierać adresy URL, podając wartości path lub href w polach treści wiadomości, omijając zamierzone kontrolki dostępu.

nodemailer przed wersją 9.0.1 nie stosuje flag disableFileAccess i disableUrlAccess do opcji raw na poziomie wiadomości, co pozwala uwierzytelnionym atakującym na odczyt dowolnych plików lub przeprowadzenie ataku SSRF poprzez podanie właściwości path lub href. Atakujący mogą wykorzystać to, tworząc surowe wiadomości ze ścieżkami plików lub adresami URL, które omijają zamierzoną piaskownicę, a pobrana treść jest dostarczana w wychodzącej wiadomości do kontrolowanych przez atakującego odbiorców.

Undertow to elastyczny, wydajny serwer WWW używany w JBoss EAP i WildFly. Znaleziono błąd w sposobie obsługi połączeń WebSocket. Konkretnie, niektóre limity konfiguracyjne, takie jak rozmiary buforów wiadomości i limity czasu sesji, nie mogą być dostosowane i domyślnie są nieograniczone. Pozwala to zdalnemu atakującemu na wysyłanie dużych ilości danych lub utrzymywanie połączeń w nieskończoność, co może doprowadzić do awarii serwera poprzez wyczerpanie pamięci lub innych zasobów.

Podatność nieprawidłowej autoryzacji w GitHub Trigger Comment Control w Google Cloud Build przed 2026-06-24 na Google Cloud Platform pozwala zdalnemu atakującemu na wykonanie nieprzejrzanego kodu w środowisku budowania poprzez tłumienie webhooków. Podatność została załatana 24 czerwca 2026, nie jest wymagane działanie klienta.

Nodemailer przed wersją 6.9.9 zawiera podatność na regular expression denial of service (ReDoS) w parsowaniu e-maili, gdy ustawiony jest parametr attachDataUrls lub podczas przetwarzania osadzonych załączników. Atakujący mogą wysyłać specjalnie spreparowane e-maile ze złośliwymi adresami URL danych lub osadzonymi załącznikami, powodując zawieszenie pętli zdarzeń i odmowę usługi.

Domyślny obraz Dockera dla Venueless nie zapewniał, że przesłane pliki SVG nie będą zawierać wykonywalnego kodu JavaScript. Obecnie ustawiono prawidłową politykę bezpieczeństwa treści (CSP).

Wykryto podatność w valkey-io valkey 9.1.0. Funkcja handleClientsBlockedOnKey w pliku src/blocked.c komponentu Blocked-on-keys Subsystem jest podatna na użycie po zwolnieniu (use after free). Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność. Exploit jest publiczny, a poprawka dostępna.

Zidentyfikowano podatność w PowerJob do wersji 5.1.2. Dotyczy ona funkcji MuConnectionManager.getOrCreateConnection w pliku powerjob-server/powerjob-server-starter/src/main/java/tech/powerjob/server/web/controller/TestController.java komponentu Transport Endpoint. Manipulacja prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.

Wykryto podatność w jeecgboot jeewx-boot do wersji 641ab52c3e1845fec39996d7794c33fb40dad1dd. Problem dotyczy funkcji MyJwWebJwid3Controller.doUpload w pliku jeewx-boot-module-weixin/src/main/java/com/jeecg/p3/open/web/back/MyJwWebJwid3Controller.java w komponencie doUpload Endpoint. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Produkt stosuje model ciągłych wydań, więc informacje o wersjach nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.

Gdy Apache Shiro jest używany z modułem integracji Jakarta EE, użytkownik o niskich uprawnieniach może spreparować żądanie HTTP, które powoduje, że serwer nawiązuje połączenie z adresem URL kontrolowanym przez atakującego i przesyła kontrolowane przez atakującego dane. Podatność dotyczy Apache Shiro w wersjach 2.x do 3.0.0 tylko we wdrożeniach korzystających z modułu integracji Jakarta EE. Aktualizacja do wersji 3.0.1 lub nowszej naprawia problem. Alternatywnie można ustawić właściwości systemowe org.apache.shiro.form-resubmit-host i org.apache.shiro.form-resubmit-port, aby ograniczyć host i port, do których Shiro będzie się łączyć podczas ponownego przesyłania formularza.

Znaleziono podatność w Colorful iGameCenter 2.0.0.81. Podatność dotyczy funkcji sub_11504 w bibliotece WinRing0x64.sys komponentu IOCTL Dispatch. Manipulacja argumentem PhysicalAddress/AlignNumer/AlignSize prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak wymaga dostępu lokalnego.

Wykryto podatność na cross-site scripting (XSS) w code-projects Simple Inventory System 1.0. Podatność dotyczy nieznanej części pliku /register.php w komponencie User Registration. Manipulacja argumentem last_name prowadzi do XSS. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty.

Wykryto usterkę w code-projects Simple Inventory System 1.0. Problem dotyczy nieznanej funkcjonalności pliku inventorymanagement.sql w komponencie Database Backup File Handler. Manipulacja powoduje ujawnienie informacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.

Wykryto podatność w open62541 do wersji 1.5.5 w funkcji UA_DataValue_backend_copyRange komponentu History Backend. Manipulacja prowadzi do użycia po zwolnieniu (use after free). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie Employee Leave Managing System 1.0 wykryto podatność na atak XSS w funkcji edycji profilu pracownika. Manipulacja argumentem Name w pliku editaction.php umożliwia zdalne wykonanie skryptu. Atak został publicznie ujawniony.

Wtyczka WordPress '爱采集数据采集和发布插件' do wersji 1.0.0 nie ogranicza wywoływanych metod i nie sprawdza uprawnień ani nonce, co pozwala niezalogowanym użytkownikom na tworzenie kont użytkowników i terminów taksonomii.

GROWI zawiera podatność nieprawidłowej autoryzacji. Jeśli zostanie wykorzystana, nieuwierzytelniony atakujący może pobrać dane zakładek innych użytkowników.

Dell PowerStore zawiera podatność braku uwierzytelnienia dla krytycznej funkcji. Nieuwierzytelniony atakujący z dostępem sieciowym do ograniczonego interfejsu zarządzania może potencjalnie wykorzystać tę podatność do odczytu wewnętrznych informacji systemowych z systemu plików urządzenia. Jest to krytyczna podatność, ponieważ może ujawnić wrażliwe informacje i poświadczenia umożliwiające pełny dostęp administracyjny do macierzy.