Katalog podatności CVE

Wada niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (cross-site scripting) w oprogramowaniu E-Commerce Pack firmy Akilli Ticaret Software Technologies Ltd. umożliwia Stored XSS. Problem dotyczy wersji od 4.5.001 do przed 4.6.001.

Wtyczka Envira Gallery dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) przez pole konfiguracyjne 'description' galerii we wszystkich wersjach do 1.12.4 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi stronę z galerią z włączonym opisem.

Moduł xipblog w wersji v2.0.1 i wcześniejszych dla PrestaShop pozwala nieuwierzytelnionym zdalnym atakującym na wstrzyknięcie dowolnego JavaScriptu poprzez parametry name i content w ajax.php. Dane wejściowe są przechowywane w bazie danych bez sanityzacji HTML i renderowane w szablonach Smarty bez escapowania wyjścia, co prowadzi do trwałego XSS. Gdy administrator przegląda komentarze w panelu administracyjnym, payload wykonuje się z kontekstem sesji administratora, prowadząc do pełnego przejęcia sklepu.

Problem w funkcji with_argv (w pliku /unistd/mod.rs) biblioteki relibc w commit 61f42d pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Problem w funkcji seekdir() (w pliku /dirent/mod.rs) biblioteki relibc w commit 61f42d pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

file_picker (znany jako flutter_file_picker) dla Fluttera, wszystkie wersje do 10.3.10, jest podatny na path traversal (CWE-22) w implementacji na Androida. Metoda openFileStream() w FileUtils.kt używa DISPLAY_NAME uzyskanego z ContentResolver.query() bezpośrednio w konstrukcji ścieżki pliku bez sanityzacji. Złośliwa aplikacja na Androida z spreparowanym ContentProvider może zwrócić nazwę pliku zawierającą sekwencje ../, powodując, że plugin tworzy dowolne pliki i katalogi poza zamierzonym katalogiem cache w wewnętrznym magazynie ofiary. Istniejące pliki nie są nadpisywane ze względu na sprawdzenie istnienia.

Podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji killSessionSync (w pliku lib/agent-runtime.ts) oprogramowania 23blocks-OS ai-maestro v0.24.17 pozwala atakującym na wykonanie dowolnych poleceń poprzez spreparowane dane wejściowe.

Problem w komponencie JsonSanitizer.sanitize() biblioteki OWASP json-sanitizer v1.2.3 pozwala atakującym na spowodowanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Podatność na Cross Site Scripting w Omeka S v.4.2.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez funkcję niestandardowego URL w nawigacji strony.

vLLM do wersji 0.17.0 włącznie pozwala zdalnym atakującym na spowodowanie odmowy usługi (DoS) poprzez wyczerpanie pamięci. Funkcje AsyncMediaIO.fetch_audio i AsyncMediaIO.fetch_image w multimodal/inputs.py pobierają adresy URL mediów dostarczone przez użytkownika za pomocą aiohttp i wywołują r.read() bez narzucania maksymalnego rozmiaru odpowiedzi, co pozwala atakującemu wyczerpać pamięć serwera, podając URL do dowolnie dużego pliku.

grpc-gateway v2.28.0 jest podatny na nieprawidłową kontrolę dostępu. Aplikacja przetwarza nagłówek X-HTTP-Method-Override w ServeMux.ServeHTTP bez ograniczania dozwolonych metod. Gdy żądanie POST z Content-Type application/x-www-form-urlencoded zawiera ten nagłówek, metoda żądania jest przepisywana na dowolną wartość dostarczoną przez atakującego przed routingiem. Pozwala to na ominięcie kontroli dostępu opartych na metodach egzekwowanych przez proxy lub WAF.

W routerze CP Plus CP-XR-DE21-S występuje podatność polegająca na obecności zaszytych na stałe poświadczeń uwierzytelniania HTTP Digest w oprogramowaniu układowym, które są identyczne dla wszystkich urządzeń z tym oprogramowaniem. Atakujący z dostępem do sieci lokalnej może wykorzystać tę podatność, uzyskując poświadczenia z oprogramowania układowego.

Morgan, middleware do logowania żądań HTTP dla Node.js, w wersjach przed 1.12.0 nie neutralizował znaków separatora linii Unicode U+0085, U+2028 i U+2029 w wartościach tokenów logów. Zdalny klient może umieścić te znaki w kontrolowanym tokenie, np. w nazwie użytkownika Basic auth, co powoduje, że proces logowania rozdziela pojedynczy wpis na wiele rekordów. Jest to problem fałszowania logów (CWE-117) i niekompletna poprawka CVE-2026-5078. Problem naprawiono w wersji 1.12.0.

To CVE zostało odrzucone. ID zostało przypisane do zgłoszonej podatności w wtyczce Customer Reviews for WooCommerce WordPress, ale nigdy nie zostało opublikowane. Zgłoszenie zostało wycofane: warunek wstępny, na którym polegało, czyli uzyskanie przez atakującego identyfikatora formularza recenzji należącego do klienta, do którego nie ma już dostępu, nie mógł zostać wykazany. Nie wydano żadnego biuletynu dla tego ID.

Platforma Pega Platform w wersjach od 7.1.0 do 25.1.2 jest dotknięta podatnością nieprawidłowej walidacji danych wejściowych używanych w warunkach pętli, co może prowadzić do nadmiernego zapętlania, a w konsekwencji do odmowy usługi lub innych skutków.

SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie CPU podczas deserializacji formularzy. Atakujący może wysłać złośliwe dane formularza, powodując brak reakcji serwera podczas przetwarzania żądania, co prowadzi do odmowy usługi. Problem naprawiono w wersji 2.52.2.

SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie pamięci podczas zdalnej deserializacji formularzy. Złośliwe dane formularza mogą powodować nadmierną alokację pamięci, co prowadzi do awarii procesu serwera i odmowy usługi. Problem naprawiono w wersji 2.52.2.

SvelteKit w wersjach od 2.49.0 do 2.53.2 (naprawione w 2.53.3) zawiera problem z ekspansją deserializacji w eksperymentalnej funkcji zdalnej formularza. Gdy aplikacja włącza experimental.remoteFunctions i używa funkcji form do przetwarzania tablicy plików bez walidacji files.length lub rozmiarów poszczególnych plików, atakujący może przesłać stosunkowo małe dane, które rozwijają się w bardzo duże tablice plików, prowadząc do kosztownego przetwarzania i odmowy usługi.

SvelteKit w wersjach od 2.38.0 do 2.60.1 zawiera wyścig w query.batch, który pozwala na połączenie równoczesnych żądań od różnych użytkowników w jeden kontekst żądania. Atakujący mogą wykorzystać specyficzne warunki czasowe, aby uzyskać dostęp do wrażliwych danych z równoczesnych żądań innych użytkowników.

SvelteKit przed wersją 2.69.1 zawiera podatność na zanieczyszczenie prototypu w zdalnych funkcjach formularzy z polami plików, które akceptują dowolne nazwy ścieżek kontrolowane przez użytkownika. Atakujący mogą manipulować ścieżką usuwania, aby usunąć metody z prototypu, potencjalnie wyłączając funkcjonalność aplikacji.