Katalog podatności CVE

Joomla! Core w wersjach 4.0.0-5.4.7 oraz 6.0.0-6.1.2 ma podatność związaną z niespójnymi kontrolami ACL dla mutujących endpointów webservice. Niewłaściwa kontrola dostępu pozwala nieautoryzowanym użytkownikom na wykonywanie akcji mutacji w endpointach webservice, podczas gdy ta sama mutacja była ograniczona w interfejsie backendu.

Narzędzie mise, zarządzające wersjami narzędzi deweloperskich, przed wersją 2026.7.1 zapisuje plik wykonywalny mise/bin/mise z identyfikatorami użytkownika i grupy 1001, a proces instalacji nie normalizuje własności, co pozwala lokalnemu użytkownikowi o tych identyfikatorach podmienić zainstalowany plik, szczególnie gdy ścieżka instalacji wskazuje na współdzieloną lokalizację jak /usr/local/bin.

Znaleziono podatność na server-side request forgery (SSRF) w mechanizmie wywołań zwrotnych webhooków w AWX. Podczas przetwarzania webhooków GitHub pull request, AWX wyodrębnia URL wywołania zwrotnego statusu (pull_request.statuses_url) z ładunku webhooka bez walidacji hosta docelowego względem oczekiwanego dostawcy Git. Ten URL jest zapisywany w zmiennych dodatkowych zadania i później używany do wysyłania uwierzytelnionych aktualizacji statusu. Użytkownik z rolą administratora w szablonie zadania z włączonym webhookiem może odczytać klucz podpisywania webhooka szablonu, sfałszować podpisany ładunek webhooka GitHub z dowolnym statuses_url i spowodować, że AWX wyśle aktualizacje statusu na URL kontrolowany przez atakującego lub wewnętrzny. Żądanie aktualizacji statusu zawiera skonfigurowany Personal Access Token (PAT) Git w nagłówku Authorization, co prowadzi do wycieku poświadczeń do punktu końcowego wskazanego przez atakującego.

Trivy, skaner bezpieczeństwa, przed wersją 0.72.0 używa metadanych manifestu wtyczki do konstruowania ścieżek w ~/.trivy/plugins bez ograniczania nazw wtyczek do tego katalogu, co pozwala atakującemu, który przekona użytkownika do instalacji lub uruchomienia złośliwej wtyczki, zapisać manifest i binarkę wtyczki w dowolnych ścieżkach zapisywalnych przez użytkownika.

File Browser przed wersją 2.63.17 bezpośrednio serializuje strukturę Link w funkcjach sharePostHandler, shareListHandler i shareGetsHandler, co powoduje ujawnienie password_hash i tokenu bypass w odpowiedziach API. Administrator może pobrać te sekrety dla udziałów każdego użytkownika, umożliwiając ataki offline na hasła i bezpośredni dostęp do chronionych udziałów.

Dragonfly przed wersją 1.40.0 zawiera podatność w komendach CMS.INITBYDIM i CMS.INITBYPROW, gdzie przepełnienie arytmetyczne przy obliczaniu rozmiaru bufora prowadzi do alokacji zbyt małego bufora. Umożliwia to niezautoryzowanemu zdalnemu klientowi uszkodzenie lub ujawnienie sąsiedniej pamięci sterty oraz awarię serwera.

Kestra przed wersją 1.3.24 zawiera podatność na przechowywany XSS w niestandardowym parserze Markdown. Użytkownik z uprawnieniami do tworzenia lub aktualizacji opisu Flow może wstrzyknąć atrybuty obsługi zdarzeń JavaScript przez składnię [[link]], co powoduje wykonanie skryptu, gdy inny użytkownik otworzy opis lub panel informacyjny.

Vvveb przed wersją 1.0.8.4 zawiera podatność w operacjach komentarzy w panelu administracyjnym, która pozwala użytkownikowi o niskich uprawnieniach (Autor) na zarządzanie komentarzami pod postami innych autorów. Brak weryfikacji własności komentarza względem bieżącego autora umożliwia odczyt treści komentarzy, adresów e-mail, zmianę statusu moderacji, edycję lub usuwanie komentarzy.

Vvveb przed wersją 1.0.8.4 zawiera podatność w operacjach na postach w panelu administracyjnym, która pozwala użytkownikowi o niskich uprawnieniach (Autor) na dostęp do postów należących do innych autorów. Brak spójnego egzekwowania własności postów umożliwia przeglądanie metadanych, duplikowanie lub usuwanie postów, co może ujawnić prywatne szkice i spowodować utratę danych.

Vvveb przed wersją 1.0.8.4 zawiera podatność w operacjach na zasobach cyfrowych w panelu administracyjnym, która pozwala użytkownikowi o niskich uprawnieniach (Vendor) na dostęp do zasobów cyfrowych powiązanych z produktami innych dostawców. Brak egzekwowania granic własności umożliwia listowanie, odczyt nazw i metadanych plików, edycję metadanych lub usuwanie rekordów zasobów.

MyBB, oprogramowanie forum, przed wersją 1.8.40 w komponencie User CP Buddy/Ignore List nieprawidłowo waliduje wzajemne aktualizacje listy znajomych. Usuwanie wpisu z listy działań użytkownika aktualizuje listę znajomych docelowego konta, ale wyszukiwanie wzajemne używa identyfikatora usuniętego celu zamiast identyfikatora działającego użytkownika, a niezweryfikowana wartość array_search() może być użyta jako klucz tablicy, co może usunąć pierwszego znajomego z listy docelowego konta.

Komponent rejestracji w MyBB nie waliduje poprawnie tekstowej CAPTCHA opartej na pytaniu bezpieczeństwa, co pozwala atakującym ominąć zabezpieczenie poprzez specjalnie spreparowaną wartość. Pole question_id jest akceptowane bez sprawdzenia, czy identyfikator jest prawidłowy, a jeśli jest puste, sfałszowane lub wygasłe, żądanie kontynuuje bez błędu związanego z pytaniem.

MyBB przed wersją 1.8.40 nie egzekwuje spójnie jednorazowego użycia wbudowanej CAPTCHA, co pozwala zdalnym atakującym na ominięcie zabezpieczeń CAPTCHA poprzez powtórne użycie wyzwania. Ścieżki walidacji w contact.php, member.php?action=do_resendactivation, member.php?action=do_lostpw, member.php?action=do_emailuser i sendthread.php?action=do_sendtofriend nie wywołują captcha::invalidate_captcha() dla domyślnej CAPTCHA.

MyBB przed wersją 1.8.40 w module Recovery Codes w Panelu Administratora nie waliduje poprawnie żądań, co pozwala atakującym z tej samej witryny na rotację kodów odzyskiwania administratora za pomocą specjalnie spreparowanego URL. Strona action=recovery_codes regeneruje kody odzyskiwania dla uwierzytelniania dwuskładnikowego na żądania GET bez ochrony przed fałszerstwem żądań.

MyBB przed wersją 1.8.40 w module ACP Users View Manager nie waliduje poprawnie żądań, co pozwala atakującym z tej samej witryny na zmianę domyślnego widoku listy użytkowników administratora przez osadzenie specjalnie spreparowanego URL. Kontrolka Set as Default zmienia domyślny widok na żądania GET bez ochrony przed fałszerstwem żądań.

MyBB przed wersją 1.8.40 w module ACP Mass Mail nie waliduje poprawnie żądań, co pozwala atakującym z tej samej witryny na tworzenie wersji roboczych z zarchiwizowanych wpisów przez osadzenie specjalnie spreparowanego URL. Trasa Resend duplikuje zarchiwizowane wpisy do nowych wersji roboczych na żądania GET bez ochrony przed fałszerstwem żądań.

MyBB przed wersją 1.8.40 w module Admin CP Security Questions nie waliduje poprawnie tokenu anty-CSRF, co pozwala atakującym z tej samej witryny na włączanie lub wyłączanie pytań zabezpieczających rejestrację przez osadzenie specjalnie spreparowanego URL. Kontroler przetwarza żądania GET dla akcji disable i enable bez weryfikacji tokenu my_post_key.

MyBB przed wersją 1.8.40 w kontrolerze Email User nie sanityzuje poprawnie nazw nadawców, co prowadzi do wstrzykiwania nagłówków poczty. Parametr fromname jest akceptowany bez sanityzacji, a gdy mail_handler jest ustawiony na domyślny PHP mail, nazwa nadawcy jest używana w nagłówkach Return-Path i Reply-To, co pozwala na wstrzyknięcie dowolnych nagłówków za pomocą sekwencji CRLF.

MyBB przed wersją 1.8.40 w Mod CP Report Center nie sprawdza spójnie uprawnień, co pozwala moderatorom bez uprawnień do zarządzania raportami na oznaczanie raportów jako rozwiązane. Handler Mark Selected as Read jest osiągalny z canmodcp nawet bez canmanagereportedcontent lub canmanagereportedposts, a gdy brak forów w zakresie, zapytanie UPDATE wykonuje się bez oczekiwanego ograniczenia opartego na uprawnieniach.

MyBB przed wersją 1.8.40 w funkcji zdalnych żądań nie obsługuje poprawnie adresów IPv6, co prowadzi do podatności na fałszowanie żądań po stronie serwera (SSRF). Domyślna lista niedozwolonych hostów nie zawiera adresów IPv6, a weryfikacja w fetch_remote_file() zawodzi w trybie fail-open, gdy get_ip_by_hostname() nie zwraca wyników dla IPv6, co pozwala na ominięcie ograniczeń hosta.