Katalog podatności CVE

Bifrost przed wersją 1.5.17 błędnie klasyfikuje adresy z zakresów CGNAT, 6to4, NAT64 i fec0::/10 jako publiczne. Atakujący kontrolujący adres URL multimodalnego żądania może sprawić, że brama pobierze zasoby z wewnętrznych usług, w tym metadane instancji chmury.

Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 zawiera podatność w metodzie Hotspotimage::getDataFromResource(), która przekazuje kolumnę __hotspots do funkcji Pimcore\Tool\Serialize::unserialize() bez ograniczeń dozwolonych klas po nieudanym dekodowaniu JSON. Atakujący z możliwością zapisu spreparowanych bajtów serializacji PHP do tej kolumny może utworzyć instancje dostępnych klas i wywołać metody magiczne, co może prowadzić do zapisu dowolnych plików lub wykonania kodu. Problem naprawiono dla Hotspotimage w wersjach 11.5.19, 12.3.10 i 2026.1.6.

MariaDB Connector/Node.js przed wersjami 3.3.3, 3.4.6 i 3.5.3, gdy SSL jest włączony bez przypiętego certyfikatu CA lub serwera, wysyła poświadczenia przed zakończeniem weryfikacji odcisku certyfikatu. Aktywny atakujący typu man-in-the-middle może przechwycić hasło bazy danych.

KubeVela przed wersjami 1.9.14, 1.10.9 i 1.11.0-alpha.4 ma podatność w ładowaniu zdalnej konfiguracji Terraform. Użytkownik z uprawnieniami do tworzenia lub aktualizacji ComponentDefinition może wskazać zmienną terraform.path na /dev/zero, co prowadzi do nieograniczonego odczytu i wyczerpania pamięci.

free5GC w wersji 4.2.2 i wcześniejszych zawiera podatność w handlerze NRF RegisterNFInstance, który akceptuje profile NF bez wymuszania formatu UUID, wartości enum nfStatus, zakresów heartBeatTimer, obowiązkowych pól profilu ani ograniczeń adresów nfServices.ipEndPoints. Nieprawidłowe profile są zapisywane w MongoDB i zwracane przez NFDiscover, co pozwala atakującemu z dostępem SBI na reklamowanie kontrolowanych punktów końcowych i przekierowanie sygnalizacji. Problem naprawiono w wersji 4.2.3.

Vikunja przed wersją 2.4.0 pozwala na masowe przypisanie wartości project_view_id w żądaniu POST /api/v1/projects/{project}/views/{view}/buckets/{bucket}. Sprawdzanie uprawnień weryfikuje, że bucket należy do projektu i widoku z URL, ale nie sprawdza docelowego widoku w ciele żądania, co pozwala uwierzytelnionemu użytkownikowi przenieść bucket należący do atakującego do widoku Kanban innej dzierżawy.

Vikunja przed wersją 2.4.0 ma podatność w punkcie końcowym POST /api/v1/projects/{project}/views/{view}/buckets/{bucket}/tasks. Autoryzacja sprawdza tylko projekt, widok i kubełek z URL, ale nie sprawdza uprawnień do zadania, co pozwala uwierzytelnionemu użytkownikowi odczytać i modyfikować zadania z innych dzierżaw.

Vikunja od wersji 0.24.6 do 2.4.0 ma podatność w punkcie końcowym DELETE /api/v1/projects/:project/views/:view. Uwierzytelniony użytkownik może podać identyfikator widoku z innego projektu, a autoryzacja sprawdza tylko identyfikator projektu, co pozwala na usunięcie przypisań Kanban i kolejności zadań w innych dzierżawach.

Vikunja od wersji 2.3.0 do 2.4.0 pozwala użytkownikowi z uprawnieniem Write (ale nie Admin) na odłączenie współdzielonego projektu podrzędnego od hierarchii nadrzędnej poprzez wysłanie parent_project_id równego 0 w POST /api/v1/projects/{project}. Sprawdzanie autoryzacji pomija wymóg Admin dla wartości zerowej, co pozwala na obejście zabezpieczenia wprowadzonego dla CVE-2026-35595.

dd-trace-rs to biblioteka Datadog do monitorowania wydajności aplikacji w języku Rust. W wersjach od 0.1.0 do 0.3.3 parsowanie nagłówka W3C tracestate w pliku tracecontext.rs zbiera wszystkie pary klucz-wartość z wpisu dd=... do HashMap bez ograniczeń liczby par ani rozmiaru wpisu. Ponieważ ekstrakcja tracecontext jest domyślnie włączona, zdalny nieuwierzytelniony atakujący może wysłać dowolnie duży wpis dd=..., powodując nadmierne zużycie CPU i pamięci dla każdego żądania, co prowadzi do odmowy usługi w instrumentowanej usłudze sieciowej. Podatność została naprawiona w wersji 0.3.3.

Vikunja od wersji 0.21.0 do 2.4.0 pozwala uwierzytelnionemu użytkownikowi, który może czytać projekt źródłowy, na umieszczenie jego duplikatu pod dowolnym docelowym projektem nadrzędnym. Sprawdzanie uprawnień w operacji duplikacji pomija wymóg zapisu do projektu nadrzędnego, co pozwala na wstrzyknięcie treści do hierarchii innego użytkownika lub zespołu.

Klever-Go przed wersją 1.7.19 zawiera podatność w dekodowaniu pól split-royalty, które mogą zawierać wartości większe niż core.HundredPercent, a sumowanie w akumulatorach uint32 może spowodować zawinięcie sumy do zera i ominięcie walidacji. Ścieżki wypłat royalty kredytują każdą nadmierną kwotę i po cichu odrzucają ujemną resztę, co pozwala na tworzenie niepokrytych aktywów KLV lub innych. Problem naprawiono w wersji 1.7.19.

Klever-Go przed wersją 1.7.19 zawiera podatność w rozliczeniach rynkowych, gdzie odczytuje ReferralPercentage z oferty, a Royalties.MarketPercentage na żywo w momencie zakupu. Właściciel aktywa może utworzyć ważną ofertę, a następnie użyć AssetTrigger UpdateRoyalties, aby połączone wartości procentowe przekroczyły cenę oferty. Wykonanie zakupu płaci kwoty referral i royalty bezwarunkowo, podczas gdy computeMarketOwnerAmount pomija nieujemną resztę sprzedawcy, co pozwala na kredytowanie większej ilości waluty niż zapłacono. Problem naprawiono w wersji 1.7.19.

Hatchet od wersji 0.40.0 do 0.91.1 nie weryfikuje, czy identyfikator pracownika (worker ID) w żądaniach Dispatcher/UpsertWorkerLabels i Dispatcher/Unsubscribe należy do dzierżawy wskazanej w kontekście tokena. Uwierzytelniony właściciel dowolnej dzierżawy, który zgadnie UUID pracownika innej dzierżawy, może nadpisać etykiety powinowactwa tego pracownika lub rozłączyć go z dyspozytorem.

Kubeflow Pipelines przed wersją 2.17.0 zawiera nieuwierzytelnioną podatność SSRF w trasie /_proxy/ w frontend/server/proxy-middleware.ts. Funkcja _routePathWithReferer() akceptuje dowolny adres URL HTTP lub HTTPS kontrolowany przez atakującego i przekazuje go do createProxyMiddleware bez listy dozwolonych hostów ani filtrowania adresów loopback, link-local, RFC1918 czy klastrowych. Trasa jest dostępna bez autoryzacji, co pozwala na przekazywanie żądań do wewnętrznych usług i zwracanie odpowiedzi atakującemu. Problem naprawiono w wersji 2.17.0.

Nieprawidłowa kontrola dostępu w funkcji getIpPortFilterRules routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie reguł filtrowania IP i portów poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji getUrlFilterRules routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie informacji o konfiguracji DMZ poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji getDmzCfg routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie informacji o konfiguracji DMZ poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji getSyslogCfg routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie konfiguracji związanej z syslogiem poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.

Nieprawidłowa kontrola dostępu w funkcji getVpnPassCfg routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie ustawień VPN pass-through i filtrowania ping WAN poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.