Katalog podatności CVE

W OpenBoxes do wersji 0.9.7 wykryto podatność w komponencie Role Interceptor, w funkcji needManager pliku RoleInterceptor.groovy. Manipulacja może prowadzić do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W OpenBoxes do wersji 0.9.7 wykryto podatność w funkcji Upload pliku ProductController.groovy w komponencie Product Upload Endpoint. Manipulacja argumentem params.url prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność na iniekcję SQL w systemie Evergreen do wersji 3.14.11/3.15.11/3.16.5/3.17-beta1. Dotyczy ona nieznanej funkcji w pliku /osrf-gateway-v1 w komponencie open-ils.fielder OpenSRF Service. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W SourceCodester Stock Management System 1.0 wykryto podatność w pliku /classes/Master.php?f=delete_supplier. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w routerze Tenda AC10 w wersji 16.03.10.09_multi_TDE01. Dotyczy ona funkcji R7WebsSecurityHandler w komponencie httpd, co prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W code-projects Online Shopping System 1.0 wykryto podatność w pliku /checkout_process.php. Manipulacja argumentem total_count prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W code-projects Online Shopping System 1.0 wykryto podatność w pliku /checkout.php. Manipulacja argumentem amount_1 prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W code-projects Online Shopping System 1.0 wykryto podatność w pliku /homeaction.php. Manipulacja argumentem cat_id prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W code-projects Online Shopping System 1.0 wykryto podatność w pliku /action.php. Manipulacja argumentem proId powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność na iniekcję SQL w systemie Online Shopping System 1.0 od code-projects. Dotyczy ona nieznanej funkcji w pliku /login.php w komponencie Login. Manipulacja argumentem email prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W SpaceX Starlink Router Gen 3 w wersji 2025.11.14.mr64708.3 wykryto podatność w funkcji get_status komponentu gRPC Management Interface. Manipulacja prowadzi do nieprawidłowych kontroli dostępu. Atak może być przeprowadzony tylko w sieci lokalnej. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

W systemie code-projects Online Food Order System 1.0 wykryto lukę w nieznanej funkcji pliku delete_food_items1.php. Manipulacja argumentem checkbox prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.

Pandora zawiera podatność na atak typu odmowa usługi podczas obsługi plików DAA (Direct Access Archive). Przy wyodrębnianiu wewnętrznego obrazu ISO z archiwum DAA skompresowane fragmenty są dekompresowane za pomocą zlib.decompress() bez ograniczenia rozmiaru wynikowych danych. Atakujący może przesłać spreparowany plik DAA z wysoko skompresowanymi danymi, co powoduje nadmierne zużycie pamięci i potencjalnie CPU, prowadząc do zawieszenia lub przerwania działania usługi.

Pandora zawiera podatność na przechodzenie po ścieżkach w funkcji ekstrakcji archiwów TAR. Podczas przetwarzania archiwum TAR nazwy członków archiwum są przekazywane bezpośrednio do funkcji tarfile.TarFile.extract() bez filtra ekstrakcji. Atakujący może przesłać specjalnie spreparowane archiwum TAR ze złośliwymi ścieżkami, co pozwala na zapis plików poza zamierzonym katalogiem.

Shescape przed wersją 2.1.15 (oraz 3.0.0 przed 3.0.2) nieprawidłowo escapuje znaki tyldy (~) w kontekstach przypisań na systemach Unix, gdzie powłoka jest jawnie skonfigurowana jako "sh" lub true, a /bin/sh wskazuje na BusyBox. Używając API escape i escapeAll z niezaufanym wejściem w przypisaniu poprzedzającym komendę, atakujący może wstrzyknąć ładunek tyldy, aby ujawnić lokalizację katalogu domowego użytkownika i, w zależności od użycia, zmienić lokalizację, na której działa komenda.

SiYuan przed wersją v3.7.4 zawiera podatność na obejście uwierzytelniania w punkcie końcowym WebSocket, spowodowaną różnicowym parsowaniem parametrów zapytania między wyłączeniem uwierzytelniania a kontrolami kwarantanny sesji. Niezalogowany atakujący może skonstruować złośliwy URI WebSocket z zduplikowanymi parametrami, aby ominąć walidację kodu dostępu i otrzymywać na żywo strumień zdarzeń jądra, w tym identyfikatory dokumentów, tytuły i logi operacji.

SiYuan przed wersją v3.7.4 zawiera podatność na cross-site scripting w funkcji unicode2Emoji, która nie sanityzuje danych wyjściowych gałęzi codepoint. Atakujący mogą tworzyć ikony dokumentów z zakodowanym szesnastkowo znacznikiem, który wykonuje się w rendererze z włączoną integracją Node, umożliwiając wykonanie dowolnego kodu na systemie.

SiYuan przed wersją v3.7.4 przechowuje nazwy pól widoku atrybutów bez kodowania HTML i interpoluje je bezpośrednio do elementów option przez innerHTML w menu sortowania. Atakujący mogą wstrzyknąć znaczniki, zmieniając nazwę pola bazy danych, aby wykonać dowolny JavaScript, gdy użytkownik otworzy menu sortowania, a włączona integracja Node w kliencie desktop umożliwia wykonanie kodu.

SiYuan przed wersją v3.7.4 nie waliduje ani nie koduje pola koloru w opcjach select widoku atrybutów, co pozwala na przechowywany cross-site scripting przez osiem niekodowanych miejsc renderowania. Atakujący mogą wstrzyknąć atrybuty obsługi zdarzeń, umieszczając cudzysłowy w wartości koloru, co wykonuje dowolny JavaScript podczas przeglądania baz danych zawierających złośliwe pole select.

SiYuan w wersjach <= 3.7.3 (poprawione w v3.7.4) zawiera podatność na wstrzyknięcie szablonów po stronie serwera w funkcji obliczeń szablonów widoku atrybutów (wprowadzonej w v3.7.0-beta.1). Silnik szablonów używa niezmodyfikowanej mapy funkcji Spriga, która nadal udostępnia funkcje env, expandenv i getHostByName, usunięte wcześniej dla CVE-2024-55660. Lokalny, niezalogowany atakujący (jądro domyślnie wiąże się z 127.0.0.1 bez kontroli dostępu per-UID) może wstrzyknąć złośliwą formułę obliczeniową, aby odczytać zmienne środowiskowe konta uruchamiającego siyuan — w tym z osobnego, nieuprzywilejowanego konta OS — oraz wykonywać zapytania DNS z pozycji sieciowej serwera.