Katalog podatności CVE

W Argo CD w wersjach od 3.2.0 do 3.2.10 oraz od 3.3.0 do 3.3.8 brakuje autoryzacji i maskowania danych w punkcie końcowym ServerSideDiff. Umożliwia to atakującemu z dostępem tylko do odczytu wyodrębnienie danych Secret w postaci jawnego tekstu z etcd za pomocą mechanizmu Server-Side Apply dry-run serwera API Kubernetes.

Zidentyfikowano podatność typu server-side request forgery (SSRF) w podglądzie notatników GitHub Enterprise Server, która pozwalała atakującemu na dostęp do wewnętrznych usług poprzez wykorzystanie niezgodności parsera URL między warstwą walidacji a biblioteką żądań HTTP.

W Mendix Runtime we wszystkich wersjach stwierdzono lukę związaną z nieodpowiednim opisem w dokumentacji reguł dostępu dla encji System.User. Brak wystarczających wskazówek może prowadzić do przypadkowego zastosowania zbyt liberalnych reguł dostępu, co skutkuje nieautoryzowanym ujawnieniem wrażliwych danych użytkowników lub eskalacją uprawnień.

W Azure DevOps występuje podatność, która umożliwia nieautoryzowanemu atakującemu ujawnienie wrażliwych informacji przez sieć.

Nieprawidłowe neutralizowanie specjalnych elementów używanych w poleceniach ('iniekcja poleceń') w Azure Cloud Shell umożliwia nieautoryzowanemu atakującemu przeprowadzenie spoofingu w sieci.

Nieprawidłowa kontrola dostępu w Azure Managed Instance dla Apache Cassandra umożliwia autoryzowanemu atakującemu wykonanie kodu przez sieć.

Nieprawidłowa autoryzacja w Microsoft Teams umożliwia autoryzowanemu atakującemu ujawnienie informacji w sieci.

Nieprawidłowa kontrola dostępu w Azure Managed Instance dla Apache Cassandra pozwala autoryzowanemu atakującemu na wykonanie kodu przez sieć.

FreeScout przed wersją 1.8.217 ma lukę w punkcie końcowym /user-setup/{hash}, który akceptuje 60-znakowy losowy invite_hash do ustawienia hasła nowego użytkownika. Brak weryfikacji wygaszenia hasha pozwala na nieautoryzowane przejęcie konta przez długi czas po wydaniu zaproszenia.

W podatności o nazwie CVE-2026-37709 występuje niebezpieczna konfiguracja uprawnień w grokability snipe-it w wersji 8.4.0 i wcześniejszych, która została naprawiona po commitcie 676a9958 z dnia 10 marca 2026 roku. Umożliwia to zdalnemu atakującemu wykonanie dowolnego kodu za pośrednictwem komponentu app/Http/Controllers/Api/UploadedFilesController.php.

Broker MQTT w oprogramowaniu Yarbo w wersji 2.3.9 jest skonfigurowany do zezwalania na anonimowe połączenia bez kontroli dostępu na poziomie tematów. Każdy host w tej samej sieci może subskrybować wrażliwe tematy telemetryczne lub publikować wiadomości kontrolne bez jakiejkolwiek autoryzacji.

Oprogramowanie układowe Yarbo w wersji 2.3.9 zawiera wbudowane, twardo zakodowane dane logowania administracyjnego. Te dane są identyczne we wszystkich urządzeniach działających na tym oprogramowaniu i nie mogą być zmieniane ani usuwane przez użytkowników końcowych.

Pakiet NPM query-parser-string w wersji 1.0.0 jest podatny na zanieczyszczenie prototypu. Pakiet nieprawidłowo oczyszcza parametry zapytania dostarczane przez użytkownika i łączy je z nowo utworzonym obiektem.

Pakiet npm parse-ini w wersji 1.0.6 jest podatny na zanieczyszczenie prototypu w funkcji index.js().

ChestnutCMS w wersji 1.5.10 zawiera podatność na wstrzykiwanie SQL. Parametr content tagu cms_content może być manipulowany w panelu administracyjnym i wstrzykiwany do zapytania SQL podczas renderowania szablonu.

Pakiet NPM next-npm-version w wersji 1.0.1 jest podatny na atak typu Command injection, co może umożliwić atakującemu wykonanie nieautoryzowanych poleceń w systemie.

W podatności CVE-2026-6795 występuje problem z przekierowaniem URL do nieufnej strony ('open redirect') w systemie DivvyDrive. Umożliwia to wstrzykiwanie parametrów, co może prowadzić do nieautoryzowanego dostępu.

Wish to serwer SSH, który w wersjach od 2.0.0 do przed 2.0.1 jest podatny na ataki typu path traversal w middleware SCP. Złośliwy klient SCP może odczytywać dowolne pliki z serwera, zapisywać pliki oraz tworzyć katalogi poza skonfigurowanym katalogiem głównym, wysyłając odpowiednio skonstruowane nazwy plików zawierające sekwencje ../ przez protokół SCP.

Projektor Optoma CinemaX P2 (firmware TVOS-04.24.010.04.01, Android 8.0.0) udostępnia API HTTP na porcie TCP 2345, które umożliwia pełną, nieautoryzowaną zdalną kontrolę urządzenia. API pozwala na odczyt i modyfikację ustawień projektora, takich jak głośność, wyciszenie, jasność i inne funkcje.

W komponencie WebRTC przeglądarki Firefox i klienta poczty Thunderbird wykryto nieokreśloną podatność. Luka została załatana w wersjach ESR 140.10.2 Firefoksa oraz Thunderbird 140.10.2.