Katalog podatności CVE

W Webkul Bagisto do wersji 2.4.4 zidentyfikowano podatność w komponencie Customer Item Deletion Endpoint. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że problemy są już znane i częściowo naprawione.

Wykryto podatność w Webkul Bagisto do wersji 2.4.4. Problem dotyczy nieznanej funkcji w pliku /admin/customers/login-as-customer/ w komponencie Admin Customer Impersonation Feature. Manipulacja argumentem ID powoduje obejście autoryzacji. Atak może być wykonany zdalnie, a exploit jest publicznie ujawniony. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.

W Akaunting w wersjach do 3.1.21 uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą zmodyfikować swoje konto, przypisując sobie identyfikator roli administratora, co daje pełne uprawnienia administratora. Podatność wynika z błędu w zadaniu UpdateUser, które przetwarza przypisania ról dostarczane przez użytkownika poprzez bezwarunkowe wywołanie roles()->sync() bez weryfikacji uprawnień. Użytkownicy potrzebują tylko domyślnego uprawnienia update-auth-profile, aby uzyskać dostęp do ścieżki samodzielnej aktualizacji i przypisać sobie rolę administratora. API są odpowiednio zabezpieczone i nie są dotknięte. Podatność została naprawiona w wersji 3.2.0.

Podatność typu wyścig (race condition) w funkcji powiadomień o zdarzeniach w KUNBUS piControl w wersji 2.6.2. Lokalny uwierzytelniony atakujący może uszkodzić pamięć jądra i stan listy zdarzeń oraz ujawnić niewielką ilość sąsiedniej pamięci jądra, wysyłając równoczesne spreparowane żądania z wielu wątków przez urządzenie znakowe piControl.

W KUNBUS piControl w wersji 2.6.2 wykryto podatność CWE-362 (wyścig) w funkcjonalności zarządzania konfiguracją i obrazem procesu. Umożliwia ona lokalnemu uwierzytelnionemu atakującemu wywołanie use-after-free i nieprawidłowych dereferencji wskaźników na obiektach konfiguracji jądra, poprzez wysyłanie równoczesnych spreparowanych żądań przez urządzenie znakowe piControl. Prowadzi to do uszkodzenia pamięci jądra i odmowy usługi.

W KUNBUS piControl w wersji 2.6.2 wykryto podatność CWE-787 (zapis poza zakresem) w funkcjonalności zarządzania obrazem procesu. Umożliwia ona lokalnemu uwierzytelnionemu atakującemu z dostępem do konfiguracji urządzenia zapisanie danych poza granicami bufora obrazu procesu i uszkodzenie sąsiedniej pamięci jądra, poprzez dostarczenie spreparowanych danych konfiguracyjnych i wejściowych przez urządzenie znakowe piControl. Prowadzi to do uszkodzenia pamięci jądra i odmowy usługi.

CVE zostało odrzucone jako duplikat CVE-2026-4890. Brak dalszych informacji o podatności.

Datavane TIS w wersji 5.0.0 zawiera podatność XML External Entity (XXE), która umożliwia uwierzytelnionym atakującym przeprowadzenie ataku SSRF (Server-Side Request Forgery) i eksfiltrację plików poza pasmem. Podatność wynika z przetwarzania XML przez nieutwardzoną DocumentBuilderFactory z włączonymi encjami zewnętrznymi i ładowaniem DTD. Atakujący może wysłać złośliwy dokument XML z zewnętrznym DTD do akcji edit_workflow, co powoduje wysyłanie żądań HTTP do infrastruktury atakującego i eksfiltrację lokalnych plików, w tym plików konfiguracyjnych i poświadczeń bazy Derby.

Wada w CTDB, usłudze klastrowej bazy danych używanej przez Sambę, polega na niewystarczającej walidacji integralności otrzymywanych pakietów protokołu CTDB. Zdalny atakujący z dostępem do prywatnej sieci CTDB może wywołać odmowę usługi przez awarie procesów lub nadmierne zużycie pamięci, a w ograniczonych przypadkach ujawnić zawartość sąsiedniej pamięci.

Podatność typu path traversal w module logback-classic (Java) firmy QOS.CH Sarl. Wartość dyskryminatora opartego na MDC jest przekazywana bez sanityzacji do zagnieżdżonej ścieżki FileAppender, co pozwala atakującemu wpływającemu na tę wartość (np. przez nagłówek HTTP) tworzyć i dopisywać pliki dziennika poza zamierzonym katalogiem. Dotyczy wersji od 0.9.14 do 1.6.2.

Wada w Undertow, serwerze HTTP, w ścieżce zapisu nagłówków odpowiedzi. Metoda writeString() wykonuje ciche zawężenie z 16-bitowych znaków Unicode do 8-bitowych bajtów podczas zapisu wartości nagłówków odpowiedzi. Zdalny atakujący może wykorzystać to, dostarczając specjalne znaki Unicode w danych kontrolowanych przez użytkownika, które aplikacja umieszcza w nagłówkach odpowiedzi, co prowadzi do obcięcia znaków do kontrolnych lub specjalnych symboli ASCII, potencjalnie powodując ograniczony wpływ na integralność lub ujawnienie informacji.

Wtyczka JSON w Apache Struts ma podatność niekontrolowanego zużycia zasobów. Gdy aplikacja jest skonfigurowana do wypełniania akcji z treści JSON, wtyczka odczytuje tę treść do pamięci bez ograniczania jej rozmiaru, co pozwala pojedynczemu żądaniu wyczerpać stertę i spowodować odmowę usługi. Konfigurowalny limit długości wejścia JSON nie ogranicza tego odczytu. Podatność dotyczy Apache Struts w wersjach od 2.1.8 do 2.3.37, od 2.5.0 do 2.5.33, od 6.0.0 do 6.10.0 oraz od 7.0.0 do 7.2.1.

Wada w migration-planner. Niewystarczająca walidacja pola AgentStatusUpdate.CredentialUrl pozwala uwierzytelnionemu atakującemu przechowywać złośliwy adres URL javascript:. Gdy ofiara wyświetli ten adres w Hybrid Cloud Console, może to prowadzić do Cross-Site Scripting (XSS), umożliwiając wykonanie skryptu w sesji ofiary i potencjalne ujawnienie wrażliwych informacji.

Podatność polegająca na obejściu uwierzytelniania przez słabość pierwotną w oprogramowaniu E-Municipality firmy Universal Software Inc. Umożliwia wykorzystanie zaufanych identyfikatorów. Dotyczy wersji od 20251127 przed 20260204.

Użycie twardo zakodowanych poświadczeń w komponencie zasobów ludzkich w Roskus Prospero Flow CRM przed wersją 5.15.9. Nieuwierzytelniony zdalny atakujący może uwierzytelnić się jako dowolny pracownik onboardowany przez standardowy proces, znając tylko jego adres e-mail, ponieważ kontroler zapisu pracownika używa dosłownego hasła "changeme", a formularz onboardingu nie zawiera pola hasła.

Podatność w TRENDnet TEW-816DRM (wersja GURNC4.OT182B-C-TN-R1B028-US.EN) dotyczy nieznanej funkcji w pliku /etc/bftpd.conf komponentu bftpd. Manipulacja argumentem USERLIMIT_GLOBAL prowadzi do alokacji zasobów. Atak może być przeprowadzony zdalnie. Podatność dotyczy tylko produktów, które nie są już wspierane przez producenta.

Wada bezpieczeństwa w wvp-GB28181-pro w wersji 2.7.4-20260107 dotyczy nieznanego kodu w pliku LogController.java komponentu Log File Download Endpoint. Manipulacja argumentem fileName prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystywany.

Podatność w wvp-GB28181-pro w wersji 2.7.4-20260107 dotyczy nieznanej części pliku PlayController.java komponentu Snapshot Endpoint. Manipulacja argumentami deviceId/channelId prowadzi do path traversal. Atak może być inicjowany zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

W alldatacenter alldata do wersji 0.6.8 znaleziono podatność na manipulację ścieżką (path traversal) w funkcji FileInputStream pliku /admin/controller/JobLogController.java, w komponencie logDetailCat Endpoint. Manipulacja argumentem executorAddress umożliwia zdalny atak. Exploit został opublikowany i może być wykorzystany.

W Devolutions PowerShell Universal w wersji 2026.2.3 i wcześniejszych wykryto podatność polegającą na niewłaściwej kontroli generowania kodu (Code Injection) w funkcji ustawień. Uwierzytelniony użytkownik z uprawnieniami do zarządzania ustawieniami może wykonać dowolny kod PowerShell poprzez spreparowaną wartość ustawienia, która nie jest poprawnie escapowana podczas zapisu do pliku konfiguracyjnego.