Katalog podatności CVE

Podatność SQL injection w Pimcore admin-ui-classic-bundle do wersji 2.3 pozwala uwierzytelnionym użytkownikom backendu na wykonanie dowolnego SQL przez filtr kolumny id w gridzie DataObject. Wartość filtra jest konkatenowana bezpośrednio do klauzuli WHERE bez parametryzacji.

Podatność w Peppermint Lab Peppermint (do commita ba6e217) pozwala każdemu uwierzytelnionemu nieadministracyjnemu użytkownikowi na rekonfigurację globalnych ustawień OIDC/SSO przez niezabezpieczony endpoint. Brakuje sprawdzenia roli administratora.

Podatność SQL injection w CiviCRM do wersji 6.18.alpha1 pozwala uwierzytelnionemu personelowi na odczyt całej bazy danych przez klauzulę RLIKE w wyszukiwaniu kontaktów. Wartość użytkownika jest konkatenowana do zapytania SQL bez sanityzacji.

Podatność nieograniczonego przesyłania plików w Cockpit CMS 2.6.0 pozwala uwierzytelnionym użytkownikom na przesyłanie plików o dowolnym rozszerzeniu, w tym skryptów PHP, przez endpoint przesyłania zasobów. Konfiguracja allowed_uploads domyślnie używa wildcarda, a pliki są przechowywane w katalogu dostępnym z sieci.

Podatność zdalnego wykonania kodu w ZoneMinder 1.39.17 pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń systemu operacyjnego przez wykorzystanie wadliwego sprawdzania uprawnień w klasie Filter. Metody canEdit() i canDelete() wywołują nieistniejące metody na klasie ZM\User, co powoduje, że PHP __call() zwraca wartość prawdziwą, omijając sprawdzenie uprawnień.

Podatność złamanej kontroli dostępu w Peppermint do commit ba6e217 wynika z domyślnej wartości false flagi Config.roles_active, co powoduje, że wszystkie sprawdzenia uprawnień dla ticketów, klientów i użytkowników są ignorowane w domyślnych instalacjach. Uwierzytelnieni użytkownicy mogą ominąć kontrolę własności i uprawnień administracyjnych. Atakujący z dowolnym kontem użytkownika może odczytywać, modyfikować lub usuwać tickety, klientów i użytkowników należących do innych kont.

Podatność typu server-side request forgery w Dub (stan na 2026-07-10) pozwala nieuwierzytelnionym zdalnym atakującym na zmuszenie serwera do wysyłania żądań HTTP do dowolnych wewnętrznych lub zewnętrznych hostów przez endpoint metatags edge. Endpoint pobiera dowolny URL podany przez wywołującego bez listy zablokowanych i bez wymogu uwierzytelnienia. Atakujący może użyć tego do skanowania wewnętrznych usług lub eksfiltracji danych z endpointów metadanych chmury.

Podatność zdalnego wykonania kodu w Apioo Fusio 8.8.3 pozwala uwierzytelnionym użytkownikom z rolą Developer na wykonanie dowolnych poleceń systemu operacyjnego poprzez obejście listy dozwolonych funkcji w PHP-Sandbox. Lista dozwolonych funkcji piaskownicy dopuszcza funkcje, które pośrednio wywołują system(), umożliwiając developerowi ucieczkę z piaskownicy i uzyskanie wykonania poleceń OS na serwerze. Atakujący z kontem roli Developer może osiągnąć pełną kompromitację serwera.

Podatność ujawnienia informacji w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na pobranie dowolnego rekordu organizacji (tenant) przez funkcję chmurową gettenant Parse. Funkcja przyjmuje parametr contactId i zwraca pełny rekord organizacji bez sprawdzania uwierzytelnienia lub autoryzacji. Atakujący może enumerować i ujawnić dane konfiguracyjne organizacji dla dowolnej organizacji w systemie.

Podatność niebezpiecznego bezpośredniego odwołania do obiektu w Attendize do commit 9289acb pozwala każdemu uwierzytelnionemu organizatorowi wydarzeń na masowe importowanie uczestników do wydarzeń należących do innych kont przez endpoint postImportAttendee. Endpoint ładuje docelowe wydarzenie po ID bez weryfikacji własności względem konta organizatora. Atakujący może wstrzyknąć masowe dane uczestników do dowolnego wydarzenia w systemie, niezależnie od granic kont.

Podatność niebezpiecznego bezpośredniego odwołania do obiektu w Attendize do commit 9289acb pozwala każdemu uwierzytelnionemu organizatorowi wydarzeń na wstrzykiwanie uczestników i zamówień do wydarzeń należących do innych kont przez endpoint postInviteAttendee. Endpoint ładuje docelowe wydarzenie po ID bez ograniczania zapytania do uwierzytelnionego konta organizatora. Atakujący może modyfikować dane wydarzeń i rekordy finansowe ponad granicami kont.

Podatność niebezpiecznego bezpośredniego odwołania do obiektu w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na zapis do dowolnego rekordu kontaktu przez funkcję chmurową updatecontacttour Parse. Funkcja nie wykonuje żadnego uwierzytelnienia ani autoryzacji przed aktualizacją docelowego rekordu kontaktu. Atakujący może uszkodzić lub nadpisać dane kontaktowe dowolnego użytkownika w systemie bez poświadczeń.

Podatność weryfikacji integralności w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na fałszowanie wpisów w dzienniku audytu dokumentów przez funkcję chmurową triggerevent Parse. Funkcja przyjmuje tożsamość widza i adres IP jako parametry podane przez wywołującego bez uwierzytelnienia, umożliwiając tworzenie dowolnych wpisów w dzienniku audytu. Atakujący może manipulować prawnym dziennikiem audytu dowolnego podpisanego dokumentu, podważając niezaprzeczalność.

Podatność niebezpiecznego bezpośredniego odwołania do obiektu w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na pobranie dowolnego rekordu kontaktu przez funkcję chmurową getcontact Parse. Funkcja wykonuje się z useMasterKey i nie wykonuje żadnych kontroli uwierzytelnienia ani autoryzacji przed zwróceniem żądanego obiektu kontaktu. Atakujący może enumerować i odczytać wszystkie rekordy kontaktów, w tym dane osobowe, bez poświadczeń.

Podatność wstrzykiwania argumentów w PrefectHQ Prefect do wersji 3.8.2 pozwala uwierzytelnionym użytkownikom na osiągnięcie zdalnego wykonania kodu przez pole branch w kroku pull git_clone. Parametr branch jest przekazywany bezpośrednio do git pull bez sanityzacji, umożliwiając wstrzyknięcie dowolnych argumentów git. Jest to odrębna ścieżka kodu od niekompletnej poprawki zastosowanej dla CVE-2026-5366 i pozwala na wykonanie poleceń na serwerze Prefect.

Podatność w Authentik do wersji 2026.5.6 umożliwia eskalację uprawnień. Atakujący z tokenem SCIM o ograniczonym zakresie może przejąć dowolne konto użytkownika, w tym superużytkownika, poprzez utworzenie użytkownika SCIM o nazwie zgodnej z istniejącym lokalnym użytkownikiem. Funkcja importu użytkowników SCIM przejmuje istniejące konta bez weryfikacji granic zakresu.

Brak uwierzytelniania w Chaskiq do commita 46dfdd1 pozwala nieuwierzytelnionym atakującym manipulować subskrypcjami Stripe dowolnej dzierżawy (tenanta) poprzez mutację GraphQL stripeCreateIntent. Mutacja nie sprawdza uwierzytelnienia ani autoryzacji, co umożliwia tworzenie intencji płatności i zmianę rozliczeń bez poświadczeń.

Brak uwierzytelniania w Chaskiq do commita 46dfdd1 pozwala nieuwierzytelnionym atakującym tworzyć sesje Stripe Billing Portal dla dowolnej dzierżawy (tenanta) poprzez mutację GraphQL stripeCustomerPortal. Mutacja nie wykonuje żadnych kontroli uwierzytelnienia ani autoryzacji przed utworzeniem sesji portalu klienta powiązanej z kontem Stripe dowolnego tenanta.

Podatność w Authentik do wersji 2026.5.6 umożliwia eskalację uprawnień. Atakujący z tokenem SCIM o ograniczonym zakresie może uzyskać uprawnienia superużytkownika poprzez utworzenie grupy SCIM o nazwie zgodnej z istniejącą grupą administratorów. Funkcja importu grup SCIM przejmuje istniejące grupy i zastępuje ich członkostwo bez weryfikacji zakresu źródłowego względem grupy docelowej.

Podatność w Portainer CE do wersji 2.44.0 umożliwia ominięcie uwierzytelniania. Zalogowani użytkownicy z niskimi uprawnieniami mogą obejść kontrole autoryzacji proxy Dockera poprzez niekanoniczną normalizację URL, co pozwala na ominięcie całego oprogramowania pośredniczącego autoryzacji. Punkt końcowy proxy nie normalizuje ścieżek żądań przed zastosowaniem kontroli dostępu, co pozwala na różną interpretację żądań przez proxy i warstwę autoryzacji.