Katalog podatności CVE

W systemie itsourcecode Sales and Inventory System 1.0 wykryto podatność w nieznanej funkcji pliku /pages/processlogin.php. Manipulacja argumentem User prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.

W urządzeniu UTT HiPER 1200GW do wersji 2.5.3-170306 wykryto podatność w funkcji strcpy pliku /goform/formConfigFastDirectionW. Manipulacja argumentem ssid może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Wykryto podatność w UTT HiPER 1250GW do wersji 3.2.7-210907-180535. Dotyczy funkcji strcpy w pliku /goform/aspRemoteApConfTempSend komponentu HTTP Request Handler. Manipulacja argumentem Profile powoduje przepełnienie bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Wykryto podatność w EFM ipTIME T24000M do wersji 14.20.0. Dotyczy funkcji httpcon_check_session_url komponentu Session Validation Handler. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być wykonany zdalnie, a exploit jest publiczny. Producent nie odpowiedział na zgłoszenie.

Wykryto podatność w EFM ipTIME T16000M w wersji 14.20.2. Dotyczy funkcji httpcon_check_session_url komponentu Session Validation Handler. Manipulacja powoduje nieprawidłowe uwierzytelnienie. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Producent nie odpowiedział na zgłoszenie.

W provectus kafka-ui do wersji 0.7.2 odkryto lukę w funkcji executeSmartFilterTest pliku kafka-ui-api/src/main/java/com/provectus/kafka/ui/controller/MessagesController.java komponentu Groovy Code Handler. Manipulacja prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Biblioteka exceljs do wersji 4.4.0 nie neutralizuje znaków równości, plusa, minusa lub małpy na początku wartości komórek zapisywanych do plików CSV. Atakujący, którzy mogą wpływać na eksportowane wartości komórek, mogą wstrzyknąć formuły, które wykonają się po otwarciu pliku CSV w arkuszu kalkulacyjnym, potencjalnie eksfiltrując dane lub wykonując inne złośliwe działania.

Biblioteka exceljs do wersji 4.4.0 zawiera podatność na przechodzenie po ścieżkach w funkcji Workbook.addImage(), która nie waliduje ścieżek plików. Atakujący mogą podać dowolne ścieżki plików, aby odczytać dowolny plik dostępny dla procesu Node.js i osadzić go w wygenerowanym skoroszycie.

Biblioteka exceljs do wersji 4.4.0 zawiera podatność na zanieczyszczenie prototypu w funkcji deepMerge, która nie odrzuca kluczy __proto__, constructor ani prototype podczas scalania obiektów notatek. Atakujący mogą przypisać złośliwą właściwość __proto__ do notatek komórek, modyfikując Object.prototype i wpływając na wszystkie zwykłe obiekty utworzone w procesie.

Biblioteka exceljs do wersji 4.4.0 dekompresuje wszystkie wpisy z dostarczonych archiwów xlsx do pamięci bez ograniczeń dotyczących rozmiaru wpisu, całkowitego rozmiaru ani współczynnika kompresji. Atakujący mogą przesłać mocno skompresowane skoroszyty, które rozszerzają się do gigabajtów w pamięci, wyczerpując dostępne zasoby i powodując odmowę usługi.

W BentoML zabezpieczenie połączeń wychodzących (make_safe_connect w _internal/utils/uri.py) blokuje adresy prywatne, pętlowe i link-local, ale nie odrzuca przestrzeni adresowej RFC 6598 (100.64.0.0/10, CGNAT). W wersjach 1.4.19 do 1.4.39 nieuwierzytelniony atakujący może podać URL wskazujący na ten zakres przez obsługę plików multipart (MultipartSerde.ensure_file) lub parsowanie żądań JSON (JSONSerde.parse_request), powodując, że serwer wykonuje żądania wychodzące do wewnętrznych hostów w sieciach CGNAT (Server-Side Request Forgery). Jest to niekompletna poprawka dla CVE-2025-54381.

Ghostwriter do wersji 7.2.6 nie stosuje autoryzacji per-obiekt na endpointach lintowania szablonów raportów. RoleBasedAccessControlMixin.test_func zwraca tylko request.user.is_active, chyba że widok to nadpisze, a ani endpoint lintujący szablon raportu, ani endpoint zwracający zapisane wyniki lintowania nie nadpisują tej metody. Każde uwierzytelnione konto może lintować dowolny szablon, nadpisując jego zapisany wynik lintowania, oraz czytać zwrócone wyniki, które ujawniają nazwy zmiennych i błędy silnika szablonów, co ujawnia ich strukturę. To odrębna luka od ścieżki podmiany szablonu: tamten endpoint autoryzuje raport, ale pomija sprawdzenie per-szablon, podczas gdy te endpointy pomijają autoryzację całkowicie i pozostają niezafiksowane.

Ghostwriter przed wersją 7.1.2 nie waliduje własności szablonów w punkcie końcowym zamiany szablonów raportów, co pozwala atakującym dołączać szablony przypisane do innych klientów do własnych raportów. Atakujący mogą wykorzystać sekwencyjne klucze główne szablonów do enumeracji i dołączania obcych szablonów, a następnie generować raporty ujawniające zawartość szablonów, w tym nagłówki, teksty standardowe i metodologię.

W bibliotece libwebsockets w wersji 4.5.0 znaleziono podatność w funkcji report_raw_cbor pliku lib/misc/lecp.c komponentu LECP CBOR Recording. Manipulacja prowadzi do zapisu poza dozwolonym obszarem pamięci. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Dolibarr ERP do wersji 18.0.10/22.0.5/23.0.3 znaleziono podatność w nieznanym przetwarzaniu pliku /user/note.php komponentu User Notes Handler. Manipulacja argumentem ID prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 23.0.4 i 24.0.0 rozwiązuje problem.

W Open5GS 2.8.0 znaleziono usterkę w nieznanym kodzie komponentu AMF UEContextReleaseRequest Path Handler. Wykonanie manipulacji prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie.

W Open5GS 2.8.0 wykryto podatność w funkcji pcrf_rx_aar_cb pliku src/pcrf/pcrf-rx-path.c komponentu Rx AA-Request Handler. Manipulacja prowadzi do odczytu poza dozwolonym obszarem pamięci. Atak może być przeprowadzony zdalnie.

W Open5GS 2.8.0 stwierdzono podatność w funkcji hss_ogs_diam_s6a_air_cb pliku src/hss/hss-s6a-path.c komponentu S6a Authentication-Information-Request Handler. Manipulacja argumentem Visited-PLMN-Id prowadzi do przepełnienia bufora na stercie. Atak może być przeprowadzony zdalnie.

Ten kandydat CVE został wycofany przez CNA, ponieważ dalsze badania wykazały, że nie jest to problem bezpieczeństwa. Endpoint jest celowo publiczny, a kod zaproszenia stanowi poświadczenie. Jest to ścieżka integracji SDK dla aplikacji mobilnych bez własnego backendu.

W ggml-org llama.cpp bec4772f6 znaleziono podatność w funkcji rpc_server::graph_compute pliku ggml/src/ggml-rpc/ggml-rpc.cpp komponentu ggml-RPC Server. Wykonanie manipulacji prowadzi do wyłuskania pustego wskaźnika (null pointer dereference). Atak może być przeprowadzony zdalnie. Pull request z poprawką oczekuje na akceptację.