Katalog podatności CVE

W Johnson Controls FM Systems Employee przed wersją 2025.3.1 występuje podatność na nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na użycie złośliwych plików.

W urządzeniu Tenda W6-S w wersji 1.0.0.4(510) wykryto podatność na przepełnienie bufora stosu w punkcie końcowym /goform/wifiSSIDset. Funkcja formwrlSSIDset używa sprintf do kopiowania kontrolowanych przez użytkownika parametrów 'GO' i 'index' do 64-bajtowego bufora stosu bez ograniczenia długości, co prowadzi do przepełnienia stosu.

W cPanel podczas zmiany nazwy bazy danych nieprawidłowo zachowywany jest tryb SQL, co umożliwia wykonanie zapytań SQL w kontekście roota.

Wings, panel sterowania serwerem dla Pterodactyl, przed wersją 1.12.3 umożliwia użytkownikowi z niskimi uprawnieniami odczytanie poufnych danych konfiguracyjnych (token, token_id, rejestry Docker) poprzez użycie placeholderów {{config.}} w szablonach plików konfiguracyjnych.

Podatność w pgAdmin 4 umożliwia zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie polecenia do narzędzia Import/Export Data. Funkcja walidująca zapytania SQL błędnie interpretuje znaki backslasha w ciągach znaków, co pozwala na ominięcie zabezpieczeń i dodanie klauzuli TO PROGRAM do polecenia psql.

Podatność w pgAdmin 4 (wersje 9.13 do 9.16) pozwala na ominięcie zabezpieczenia CVE-2026-12045 poprzez wstrzyknięcie zapytania SQL do asystenta AI. Atakujący może umieścić złośliwy ładunek w obiekcie odczytywanym przez asystenta, co prowadzi do wykonania wielu instrukcji SQL, w tym zapisu lub zdalnego wykonania kodu.

W funkcji adhoc_connect_server w pgAdmin 4 9.0-9.16, podczas klonowania serwera przez niebędącego właścicielem użytkownika, kopiowane są wszystkie kolumny, w tym dane uwierzytelniające (hasła) oraz flagi własności. Pozwala to atakującemu na przejęcie sklonowanego serwera i korzystanie z haseł bazy danych należących do innego użytkownika (np. administratora).

Wdrożenie szablonu Zulip jednym kliknięciem z VPS.org zawiera zakodowany na stałe klucz podpisywania aplikacji, domyślne hasło bazy danych („zulip”) oraz ustawienie DISABLE_HTTPS=True.

Wdrożenie szablonu Supabase jednym kliknięciem z VPS.org uruchamia instancję PostgreSQL nasłuchującą na wszystkich interfejsach (0.0.0.0:5432) z domyślnym hasłem bazy danych ustawionym na „postgres”. Ponieważ Docker instaluje własne reguły iptables, to narażenie omija standardową konfigurację zapory UFW hosta.

Podatność typu Code Injection w Logsign SIEM (przed wersją 6.4.115) pozwala na wstrzyknięcie kodu.

PHP Jabbers Car Rental Script przed wersją 4.1 zawiera podatność na wstrzykiwanie SQL w parametrach odpowiedzialnych za sortowanie, co pozwala nieuwierzytelnionemu atakującemu na wykonanie zapytań SQL.

DMS+ (Non-Mobile) od Rich Source zawiera podatność polegającą na użyciu zakodowanych na stałe poświadczeń. Nieuwierzytelnieni zdalni atakujący mogą wykorzystać stały klucz API do przejęcia kontroli nad wszystkimi zainstalowanymi urządzeniami DMS+.

Wtyczka ShopMonitor.io dla WordPress przed wersją 1.2.0 nieprawidłowo ogranicza tryb testowy przekierowania e-maili, opierając się na nagłówkach żądania klienta. Niezalogowani atakujący mogą przekierować wychodzące e-maile, w tym e-mail resetowania hasła administratora, na kontrolowany adres i przejąć konto administratora.

Wtyczki Realtyna Organic IDX i WPL Real Estate dla WordPressa są podatne na dowolne przesyłanie plików we wszystkich wersjach do 5.2.0 włącznie. Brak walidacji typu pliku w funkcji upload, w połączeniu z publicznie dostępnym punktem końcowym I/O uwierzytelnianym wyłącznie statycznymi, domyślnymi poświadczeniami API, umożliwia nieuwierzytelnionym atakującym przesyłanie plików wykonywalnych, co może prowadzić do zdalnego wykonania kodu.

CodeIgniter przed wersją 4.7.4 zawiera podatność w regułach walidacji is_image i mime_in, które nie wymuszają bezpiecznego rozszerzenia pliku. Zdalny atakujący może przesłać plik wykonywalny, jeśli aplikacja zachowuje oryginalną nazwę pliku i przechowuje go w katalogu dostępnym z sieci, gdzie PHP może być wykonywane.

CodeIgniter od wersji 4.3.0 do 4.7.3 zawiera podatność w metodzie deleteBatch() Query Buildera, która podstawia wartości z warunków where() do wygenerowanego SQL bez uwzględniania flag ucieczki. Pozwala to na wstrzyknięcie SQL przez kontrolowane przez użytkownika wartości warunków.

Szczegóły podatności oraz instrukcje łagodzenia są obecnie ograniczone i zostaną opublikowane w późniejszym terminie.

W Google mcp-toolbox w wersjach v1.3.0 i v1.4.0, nieprawidłowa autoryzacja w punkcie końcowym bezpośredniego wywołania narzędzia HTTP API pozwala nieuwierzytelnionemu atakującemu na wywoływanie narzędzi chronionych funkcją scopeRequired przez legacy endpointy HTTP, gdy flaga --enable-api jest aktywna.

OpenClaw Dashboard zawiera podatność na trwałe XSS, która pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu JavaScript w sesji administratora poprzez wstrzyknięcie kodu HTML do wiadomości agenta przetwarzanych przez API sesji.

Wiele modeli routerów TR, WR i WR (m.in. TR1200, TR3000, WR300) zawiera podatność na wstrzykiwanie poleceń w interfejsie net.set_wan. Atakujący może wykonać dowolne polecenia jako root przez spreparowane wejście.