Katalog podatności CVE

Podatność w bibliotece vm2 dla Node.js (wersje 3.9.6 do 3.10.5) umożliwia atakującemu JavaScript działającemu w piaskownicy modyfikację prototypów hosta, takich jak Object.prototype, Array.prototype i Function.prototype. Dzieje się tak przez mostek, który udostępnia mutowalne proxy dla rzeczywistych prototypów hosta, a następnie przekazuje zapisy z piaskownicy do obiektów hosta za pomocą ReflectSet() i ReflectDefineProperty().

Podatność w vm2 przed wersją 3.11.0 pozwala na obejście listy dozwolonych modułów wbudowanych NodeVM. Gdy moduł 'builtin' jest dozwolony (nawet przez '*' wildcard), kod w sandboxie może użyć Module._load() do załadowania dowolnego modułu w kontekście hosta, omijając ograniczenia. Umożliwia to uruchomienie wykluczonych modułów, takich jak child_process, i zdalne wykonanie kodu.

Podatność w bibliotece vm2 dla Node.js przed wersją 3.11.0 umożliwia uzyskanie dostępu do obiektu hosta. Atakujący może wykorzystać różne metody, np. HostObject.getOwnPropertySymbols, aby uzyskać Symbol(nodejs.util.inspect.custom) i uciec z piaskownicy.

Podatność przepełnienia bufora w funkcjach DNS proxy i DNS Server w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym spowodowanie warunku odmowy usługi (DoS) na wszystkich platformach PAN-OS z wyjątkiem Cloud NGFW i Prisma Access, a na sprzęcie PA-Series potencjalnie wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.

Podatność przepełnienia bufora w przetwarzaniu IKEv2 w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia nieuwierzytelnionemu atakującemu sieciowo wykonanie dowolnego kodu z podwyższonymi uprawnieniami na zaporze ogniowej lub spowodowanie warunku odmowy usługi (DoS).

JupyterLab przed wersją 4.5.7 posiada sanitizer HTML, który zezwala na atrybuty data-commandlinker-command i data-commandlinker-args na elementach button. CommandLinker nasłuchuje kliknięć na całym dokumencie i wykonuje nazwane polecenia bez sprawdzania, czy element pochodzi z zaufanego interfejsu JupyterLab. Notatnik z osadzonym przyciskiem w komórce HTML może wywołać dowolne polecenia JupyterLab, w tym wykonanie kodu, po jednym kliknięciu użytkownika.

W iControl REST występuje podatność, która pozwala wysoko uprzywilejowanemu, uwierzytelnionemu atakującemu z co najmniej rolą Menedżera na tworzenie obiektów konfiguracyjnych umożliwiających wykonywanie dowolnych poleceń.

Systempay 1.0 zawiera słabą implementację kryptograficzną, która umożliwia atakującym przeprowadzenie ataku brute force na 16-znakowy klucz produkcyjny używany do generowania podpisów płatności. Atakujący mogą wydobywać dane formularza płatności oraz podpisy z żądań POST do punktu końcowego płatności, a następnie używać porównania haszy SHA1 do iteracyjnego testowania kandydatów na klucz, aż odkryją poprawny klucz produkcyjny.

Urządzenia punktu dostępu bezprzewodowego ELECOM zawierają podatność na wstrzykiwanie poleceń systemowych w przetwarzaniu parametru nazwy użytkownika. W przypadku przetworzenia odpowiednio skonstruowanego żądania, może zostać wykonane dowolne polecenie systemowe.

Urządzenia punktu dostępu bezprzewodowego ELECOM nie wymagają uwierzytelnienia do uzyskania dostępu do niektórych konkretnych adresów URL. Dotknięty produkt może być używany bez uwierzytelnienia.

Deployer Helm w Fleet nie zastosował w pełni impersonacji ServiceAccount w dwóch ścieżkach kodu, co pozwalało najemcy z dostępem do git push w repozytorium monitorowanym przez Fleet na odczyt sekretów z dowolnej przestrzeni nazw w każdym docelowym klastrze.

W GUARDIANWALL MailSuite i GUARDIANWALL Mail Security Cloud (wersja SaaS) występuje podatność na przepełnienie bufora na stosie. Zdalny atakujący może wysłać specjalnie przygotowane żądanie do usługi webowej produktu, co może prowadzić do wykonania dowolnego kodu, jeśli produkt jest skonfigurowany do uruchamiania pop3wallpasswd z uprawnieniami użytkownika grdnwww.

Wszystkie wersje Hitachi Vantara Pentaho Data Integration & Analytics zawierają sterownik JDBC dla baz danych H2, który jest podatny na wykonanie zewnętrznych skryptów podczas tworzenia nowego połączenia przez administratora źródła danych.

ChurchCRM to system zarządzania kościołem typu open-source. W wersjach od 7.2.0 do 7.2.2 poprawka dla CVE-2026-4058 jest niekompletna, co pozwala na wykorzystanie tej podatności.

ChurchCRM to system zarządzania kościołem typu open-source. W wersjach przed 7.3.2 poprawka dla CVE-2026-39337 jest niekompletna, co pozwala na zdalne wykonanie kodu przed uwierzytelnieniem poprzez nieoczyszczoną zmienną DB_PASSWORD.

Thymeleaf, silnik szablonów Java, ma lukę w zabezpieczeniach przed wersją 3.1.5.RELEASE, która pozwala na obejście mechanizmów wykonania wyrażeń. W przypadku przekazania do silnika szablonów niesanitarnych zmiennych, które zawierają niebezpieczne wyrażenia, może dojść do wykonania tych wyrażeń w kontekście sandboxa, co prowadzi do ataku typu Server-Side Template Injection (SSTI).

Scramble generuje dokumentację API dla projektów Laravel. W wersjach od 0.13.2 do przed 0.13.22, gdy punkty końcowe dokumentacji są publicznie dostępne, a reguły walidacji odnoszą się do danych kontrolowanych przez użytkownika, dostarczone dane mogą być oceniane podczas generowania dokumentacji, co prowadzi do wykonania dowolnego kodu PHP w kontekście aplikacji.

W wersjach przed 4.08.010, funkcja elfinder_checkRisk w efw4.X nie weryfikuje parametru dst używanego przez elfinder_paste, co pozwala atakującemu na kopiowanie lub przenoszenie plików z katalogu domowego do dowolnej lokalizacji poprzez ustawienie dst na zakodowaną w base64 ścieżkę przejścia.

W efw4.X przed wersją 4.08.010, metoda efw.file.FileManager.unZip nie sprawdzała ścieżki kanonicznej przy zapisywaniu wpisów zip na dysku, co pozwalało na wyjście poza zamierzony katalog. Atakujący mógł wykorzystać tę lukę do umieszczenia złośliwego pliku JSP i wykonywania dowolnych poleceń jako użytkownik Tomcat.

W wger przed wersją 2.6 występuje podatność, która pozwala użytkownikowi z uprawnieniami gym.manage_gym na zresetowanie hasła dowolnego użytkownika bez przypisania do siłowni. Wykorzystując błąd w porównaniu obiektów, atakujący może przejąć konto ofiary, a oryginalne hasło ofiary zostaje unieważnione.