Katalog podatności CVE

Pomocnik sortowania w siatce administracyjnej Subrion CMS, _gridGetSorting w includes/classes/ia.base.controller.admin.php, umieszcza na białej liście parametr żądania (ASC/DESC) za pomocą in_array, ale wraca do surowego, dostarczonego przez atakującego parametru GET, gdy żądany klucz nie znajduje się w tablicy białej listy dla danego kontrolera, a następnie umieszcza go w %s tylko z cytowaniem backtickami i bez escapowania.

Bolt CMS renderuje wartości pól treści przez pełne środowisko Twig bez zarejestrowanego SandboxExtension. W src/Entity/Field.php funkcja getTwigValue wywołuje shouldBeRenderedAsTwig, która sprawdza tylko flagę allow_twig i regex, a następnie kompiluje i renderuje surową wartość bez sandboxingu.

Kreator raportów w systemie Koha (reports/guided_reports.pl) odczytuje parametry CGI i bezpośrednio konkatenuje je do klauzuli SQL ORDER BY bez żadnej listy dozwolonych wartości ani walidacji. Ponieważ kolumny ORDER BY nie mogą być wiązane przez przygotowane zapytania, wymagana jest jawna lista dozwolonych, która nie istnieje.

Funkcja sanitize_sql_column w Cacti (lib/functions.php) oczyszcza nazwy kolumn ORDER BY podawane przez użytkownika za pomocą wyrażenia regularnego, które dopuszcza litery, cyfry, podkreślenia, nawiasy i kropki. Pozwala to na przepuszczenie niektórych ładunków bez żadnych modyfikacji.

Integracja z Matomo w Uptime Kuma wstrzykuje wartość Matomo skonfigurowaną przez administratora jako niecytowane wyrażenie JavaScript w bloku <script> na każdej publicznej stronie statusu. Wartość siteId, taka jak , po zapisaniu przez edytora/admina, wykonuje dowolny JavaScript dla każdego nieuwierzytelnionego odwiedzającego publiczną stronę /status/<slug>, umożliwiając kradzież ciasteczek sesji i pełne przejęcie strony.

Procedura obsługi przesyłania kopii zapasowych w Fledge, upload_backup (python/fledge/services/core/api/backup_restore.py), pobiera pierwszą nazwę pliku z wyodrębnionego archiwum tar (tar_file_names[0]) i buduje polecenie powłoki przez formatowanie stringa. Ponieważ os.system wywołuje powłokę i nie stosuje się cytowania (shlex.quote, list-form subprocess), administrator przesyłający spreparowane archiwum kopii zapasowej może uzyskać dowolne wykonanie poleceń systemu operacyjnego.

Moduły inicjalizacji LoRA-GA i CorDA w bibliotece Hugging Face peft (src/peft/tuners/lora/corda.py linie ~102 i ~163 oraz src/peft/tuners/lora/loraga.py linia ~101) wywołują torch.load na plikach cache/kowariancji określonych w konfiguracji bez ustawienia weights_only=True, omijając własny bezpieczny mechanizm ładowania peft używany w innych miejscach kodu.

Funkcja DownloadBookmark w go-shiori pobiera URL dostarczony przez wywołującego za pomocą zwykłego http.Client bez niestandardowego DialContext ani walidacji docelowego adresu IP (brak sprawdzeń IsLoopback, IsPrivate, IsUnspecified czy IsLinkLocalUnicast).

W Zigbee2MQTT, funkcja ExternalJSExtension.getFilePath (lib/extension/externalJS.ts) łączy parametr otrzymany przez wiadomość MQTT (topic zigbee2mqtt/bridge/request/extension/save) z bazową ścieżką rozszerzeń za pomocą path.join(basePath, name) bez sanityzacji. Obsługa rozszerzeń tylko sprawdza, czy nazwa kończy się na .js/.mjs/.cjs, zapisuje plik, a następnie dynamicznie importuje go przez Node.js import, co umożliwia zdalne wykonanie kodu.

API czytników wiadomości w Magistrala (dawniej Mainflux) odczytuje wartość z ciągu zapytania HTTP (readers/api/http/transport.go) bez walidacji i interpoluje ją bezpośrednio do surowych zapytań SQL za pomocą fmt.Sprintf zarówno w czytniku PostgreSQL (readers/postgres/messages.go: ), jak i w czytniku TimescaleDB (readers/timescale/messages.go, ten sam wzorzec), umożliwiając wstrzyknięcie SQL przez każdego uwierzytelnionego użytkownika, który może odpytywać wiadomości kanału.

Funkcja CHANNEL_SetLabel w OpenBK7231T przechowuje etykiety kanałów otrzymane przez komendę MQTT SetChannelLabel za pomocą strdup bez sanityzacji HTML. CHANNEL_GetLabel zwraca te etykiety bez sanityzacji, a są one renderowane przez hprintf255 w ponad 15 miejscach w src/httpserver/http_fns.c bez kodowania HTML.

Funkcja safeDialContext w webhookach Memos rozwiązuje nazwę hosta docelowego przez net.DefaultResolver.LookupHost i waliduje wynikowe adresy IP względem zakresów zastrzeżonych, ale następnie łączy się przez net.JoinHostPort(host, port) używając oryginalnej nazwy hosta, a nie już zwalidowanego adresu IP.

Funkcja isReservedIP w Memos (internal/webhook/validate.go) sprawdza adres IP względem listy zarezerwowanych CIDR, która pomija zakres 0.0.0.0/8 i nie wywołuje ip.IsUnspecified, w przeciwieństwie do poprawnie zaimplementowanej funkcji isInternalIP.

Endpoint POST /api/v1/convert/url/pdf w Stirling-PDF (ConvertWebsiteToPDF.java) nie został zaktualizowany o zabezpieczenia CustomHtmlSanitizer/SsrfProtectionService, które dodano do trzech pokrewnych endpointów konwersji (html/pdf, file/pdf, markdown/pdf).

Podatność polegająca na przechodzeniu poza katalog (path traversal) w module przechowywania lokalnego systemu plików Node-RED (funkcje getLibraryEntry i saveLibraryEntry w packages/node_modules/@node-red/runtime/lib/storage/localfilesystem/library.js), osiągalna przez GET/POST /library/:lib/:type/*path. Parametr ścieżki podany przez użytkownika jest łączony bezpośrednio ze ścieżką systemu plików za pomocą fspath.join(libDir, type, path) bez sanityzacji, sprawdzenia ograniczeń ani normalizacji/weryfikacji prefiksu.

tinyobjloader-c's tinyobj_parse_and_index_mtl_file odczytuje każdą linię pliku materiałów .mtl do stałego bufora stosu o rozmiarze 4096 bajtów przez memcpy(linebuf, p, p_len), chronionego tylko przez [niepełny warunek]. Ten sam podatny wzorzec jest zduplikowany w drugiej funkcji w tym samym pliku.

Procedura obsługi MochadTCP::MatchLine w Domoticz (hardware/MochadTCP.cpp) kopiuje dane sieciowe z bufora m_mochadbuffer (do 1028 bajtów) do stałego bufora stosowego tempRFSECbuf o rozmiarze 50 bajtów za pomocą strcpy bez sprawdzania długości, w trzech różnych gałęziach kodu (typy urządzeń DS10A/KR10A/MS10A).

Endpoint GET /json/cfg w WLED wywołuje serveJson bez sprawdzenia PIN-u ustawień, w przeciwieństwie do /edit, które sprawdza poprawny PIN. Umożliwia to nieuwierzytelnionemu klientowi w sieci odczyt ogólnej konfiguracji urządzenia (sieć, sprzęt, konfiguracja LED).

dr_libs dr_wav.h zawiera przepełnienie liczby całkowitej w parsowaniu metadanych W64 CUE chunk. W drwav__metadata_process_chunk, oszacowanie pojemności etapu 1 obcina 64-bitowy rozmiar W64 chunk sizeInBytes do size_t przed podzieleniem przez DRWAV_CUE_POINT_BYTES; na buildach 32-bitowych to obcięcie powoduje nieprawidłowe obliczenie wstępnie przydzielonej pojemności dodatkowych metadanych.

ESPHome do wersji 2026.7.0-dev zawiera błąd pierwszeństwa operatorów w walidatorze cv.url w esphome/config_validation.py. Ponieważ [operator] wiąże mocniej niż [operator], każdy URI file: przechodzi walidację niezależnie od netloc. Ten walidator kontroluje pole schematu git w dyrektywie YAML external_components, które jest przekazywane do [funkcji] (git obsługuje file:// natywnie).