Katalog podatności CVE

LimeSurvey Community Edition 7.0.5 zawiera podatność na trwałe Cross-Site Scripting w procesie tworzenia kwot w ankiecie. Uwierzytelniony użytkownik o niskich uprawnieniach, który może tworzyć i zarządzać własnymi ankietami, może przechowywać złośliwy JavaScript w wiadomości kwoty.

amqp091-go to klient AMQP 0.9.1 w języku Go. Przed wersją 1.13.0, złośliwy broker AMQP może zmusić klienta do alokacji zasobów i przetwarzania ramek treści przekraczających limit frame_max. Może to prowadzić do nieoczekiwanego zużycia pamięci lub ataku DoS na warstwie aplikacji, omijając wbudowane ograniczenia protokołu. Wersja 1.13.0 zawiera poprawkę. Nie są znane żadne obejścia.

Weblate przed wersją 2026.8 pozwala użytkownikowi z uprawnieniami do zarządzania adresami URL repozytoriów komponentów na przeprowadzenie ataku SSRF na usługi wewnętrzne przez DNS rebinding podczas operacji VCS. Walidacja hosta opiera się na pierwszym rozwiązaniu DNS, ale klienci VCS wykonują osobne zapytanie, co pozwala na przekierowanie na adres wewnętrzny.

Weblate przed wersją 2026.8 nie stosuje kontroli uprawnień w obiektowych kanałach RSS, co pozwala nieautoryzowanym użytkownikom na odczyt metadanych historii zmian z prywatnych projektów i ograniczonych komponentów. W instalacjach z anonimowym dostępem metadane mogą być pobierane bez uwierzytelnienia. Problem naprawiono w wersji 2026.8.

AntFlow V2.0.0 jest podatny na nieprawidłową kontrolę dostępu. JiMuMDCCommonsRequestLoggingFilter.java pobiera userid z nagłówka żądania jako podstawę mechanizmu weryfikacji tożsamości, co pozwala atakującym na sfałszowanie dowolnych danych uwierzytelniających tożsamość użytkownika, powodując wyciek wrażliwych informacji.

W AntFlow V2.0.0, ActivitiTest.java umożliwia użytkownikom wykonywanie wyrażeń JUEL bez filtrowania danych wejściowych, co prowadzi do podatności na wykonanie poleceń.

DocSys V2.02.80 jest podatny na dowolne pobieranie plików. Atakujący nie musi przechodzić uwierzytelniania, aby skorzystać z interfejsu downloadDocEx.do i pobrać dowolny plik za pomocą parametru targetPath.

JeecgBoot v3.9.2 jest podatny na zdalne wykonanie poleceń. Komponent CodeNode modułu AI Flow obsługuje wykonywanie skryptów Groovy. Podczas gdy klasa SecurityCheck używa mechanizmu czarnej listy do przechwytywania niebezpiecznych wywołań, dynamiczna natura Groovy pozwala na całkowite ominięcie tej czarnej listy poprzez konkatenację stringów i refleksję.

Comfast CF-N1-S firmware 2.6.0.1 i CF-WR630AX (build z 2024-01-30), handler SET update_interface_png w /usr/bin/webmgnt nie sanityzuje parametru display_name. Dane kontrolowane przez użytkownika są łączone przez sprintf() do niecytowanego polecenia powłoki `/etc/rrd/graphinterface %s %s` i wykonywane przez system() z uprawnieniami roota. Zdalny uwierzytelniony atakujący może wstrzyknąć dowolne polecenia.

Podatność w routerze Comfast CF-WR630AX w wersji 2.7.0.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez komponenty /usr/bin/webmgnt, /cgi-bin/mbox-config oraz parametry timestr i display_n.

Weblate przed wersją 2026.7 pozwala użytkownikowi z rolą "Edit source" na przechowywanie złośliwego wyrażenia regularnego w flagach ciągu źródłowego, które jest wykonywane bez limitu czasu, co umożliwia blokowanie żądań i odmowę usługi. Problem naprawiono w wersji 2026.7.

Weblate przed wersją 2026.7 pozwala uwierzytelnionemu użytkownikowi z dostępem do projektu na pobieranie historii zmian ograniczonych komponentów w tym projekcie przez zagnieżdżone punkty końcowe API zmian, nawet bez uprawnień do bezpośredniego podglądu tych komponentów. Problem naprawiono w wersji 2026.7.

Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7 administrator projektu może odczytywać pliki poza swoim repozytorium poprzez funkcję pobierania metadanych App store, która rozwiązuje ścieżki wpływane przez atakującego bez odpowiedniego ograniczenia do repozytorium. Jest to niekompletna poprawka dla CVE-2026-34242, której oryginalna łatka nie w pełni zapobiegła path traversal, umożliwiając dowolny odczyt plików. Użytkownik z uprawnieniami administratora projektu może ujawnić zawartość plików na hoście Weblate poza repozytorium projektu. Problem naprawiono w wersji 2026.7.

Weblate przed wersją 2026.7 nie egzekwuje wymogu dwuskładnikowego uwierzytelniania (2FA) dla globalnych uprawnień, mimo że zespół może wymagać 2FA dla swoich członków. Użytkownik należący do zespołu z wymogiem 2FA otrzymuje globalne uprawnienia bez skonfigurowanego 2FA, co może obejmować dostęp do interfejsu zarządzania. Problem naprawiono w wersji 2026.7.

Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7, REST API nie egzekwowało odpowiednio zakresu zespołów projektowych i obszarów roboczych, umożliwiając użytkownikowi przesyłanie nieprawidłowych konfiguracji zespołów przez API. Przypisując projekty do zespołu za pomocą tych niezweryfikowanych żądań, użytkownik mógł przyznać dostęp do projektów, do których nie był upoważniony. Może to ujawnić prywatne projekty i umożliwić operacje tłumaczenia, repozytorium i zarządzania projektem poza zamierzonym zakresem uprawnień. Problem naprawiono w wersji 2026.7.

Weblate to internetowe narzędzie do lokalizacji. W wersjach przed 2026.7 kilka punktów końcowych wyszukuje obiekty w sposób globalny, zamiast ograniczać wyszukiwanie do projektów, do których użytkownik ma dostęp, przez co zwracają kod HTTP 403 (Zabronione) zamiast 404 (Nie znaleziono), gdy użytkownik żąda obiektu, którego nie jest upoważniony zobaczyć. Ta różnica pozwala nieautoryzowanym użytkownikom wywnioskować, czy dany obiekt istnieje w prywatnym projekcie Weblate. Problem został naprawiony w wersji 2026.7.

Podatność w Wgcloud 3.6.4 umożliwia zdalnemu atakującemu eskalację uprawnień, ponieważ parametr content jest bezpośrednio łączony z ProcessBuilder.

Podatność zero-click w SimpleX Chat przed wersją 6.5 w komponencie /Terminal/Notification.hs umożliwia zdalnemu atakującemu wykonanie dowolnych poleceń w kontekście aplikacji bez interakcji użytkownika, poprzez wysłanie spreparowanego payloadu w wiadomości tekstowej.

W Cockpit CMS w wersji 2.13.5 i wcześniejszych znaleziono podatność na Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponenty item.php, field-select.js i tags.js.

LimeSurvey Community Edition 7.0.5 zawiera podatność na trwały cross-site scripting (XSS) w panelu administracyjnym Survey Menu Entries. Uwierzytelniony użytkownik z uprawnieniem global settings:read może utworzyć wpis menu ankiety zawierający dane kontrolowane przez atakującego. Wartość jest przechowywana w polu surveymenu_entries.data i później wstawiana do atrybutu title w pojedynczych cudzysłowach bez odpowiedniego kodowania.