Katalog podatności CVE

Podatność w Apache Struts typu asymetryczne zużycie zasobów (amplifikacja). Gdy parametr żądania jest wiązany z właściwością BigDecimal i renderowany przez bibliotekę tagów Struts, framework może wygenerować odpowiedź znacznie większą niż żądanie. Umożliwia to nieuwierzytelnionemu atakującemu zdalnemu wyczerpanie CPU serwera i przepustowości sieci przy użyciu niewielkiego ruchu.

Podatność deserializacji niezaufanych danych w wtyczce Product Feed PRO for WooCommerce (woo-product-feed-pro) firmy Rymera Web Co umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 13.5.7.

Podatność polegająca na wstawieniu wrażliwych informacji do wysyłanych danych w wtyczce Five Star Restaurant Reservations (restaurant-reservations) firmy Etoile Web Design Incorporated umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 2.7.24.

Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce Photo Reviews for WooCommerce (woo-photo-reviews) firmy VillaTheme umożliwia odbity XSS. Problem dotyczy wersji od n/a do 1.2.30.

Złośliwy obraz może reklamować DiffID z innego obrazu, zawierając jednocześnie inną zawartość warstw. W dotkniętych wersjach BuildKit mógł używać reklamowanych DiffID do wyprowadzania tożsamości pamięci podręcznej i snapshotów bez weryfikacji, czy odpowiadają one rzeczywistej zawartości warstw. Jeśli demon BuildKit ze wspólną lub trwałą pamięcią podręczną najpierw przetworzy taki złośliwy obraz, późniejsza kompilacja z użyciem obrazu ofiary może zamontować zawartość warstw kontrolowanych przez atakującego jako obraz bazowy. Może to pozwolić na uruchomienie kodu ze złośliwego obrazu w kompilacji ofiary, na przykład przez zastąpienie często wykonywanej ścieżki, takiej jak /bin/sh. Kod kontrolowany przez atakującego może odczytać sekrety budowania zamontowane w kompilacji, uzyskać dostęp do innych zasobów budowania, zmienić artefakty wyjściowe lub zawiesić kompilację. Problem dotyczy zarówno zwykłych snapshotterów, jak i snapshotterów z leniwym pobieraniem, takich jak stargz.

Jeśli demon BuildKit zostanie uruchomiony z opcją --cdi-disabled, może to doprowadzić do paniki demona, gdy kompilacje próbują użyć urządzeń CDI. Może się to zdarzyć celowo lub przypadkowo.

W Plane przed wersją 1.4.0 endpoint PATCH dla załączników zgłoszeń V2 przyjmuje issue_id w adresie URL, ale pomija go w zapytaniu do bazy danych. Członek projektu może podać własny issue_id w URL, a mimo to zmodyfikować załącznik innego użytkownika, dopasowując go po UUID (pk). Gdy załącznik jest w stanie oczekującym, procedura PATCH ustawia created_by na atakującego i przenosi własność załącznika.

W Plane przed wersją 1.4.0 mutacja GraphQL joinProject pozwala dowolnemu członkowi przestrzeni roboczej dodać się do dowolnego projektu w tej przestrzeni, w tym do projektów oznaczonych jako sieć=0 (tajne/prywatne), do których nie został zaproszony, i przyznaje mu pełną rolę Member (odczyt i zapis). Resolver sprawdza tylko członkostwo i rolę na poziomie przestrzeni roboczej, nigdy nie weryfikuje widoczności (network) docelowego projektu. Prowadzi to do zniesienia izolacji projektów w ramach przestrzeni roboczej.

W Plane przed wersją 1.4.0 endpointy WorkspaceFileAssetEndpoint.get i WorkspaceAssetDownloadEndpoint.get rozwiązują rekordy FileAsset w przestrzeni roboczej bez sprawdzania członkostwa w projekcie zasobu, co pozwala członkowi przestrzeni pobierać zasoby z prywatnych projektów, jeśli zna UUID zasobu. EntityAssetEndpoint.get to osobny publiczny endpoint z dostępem AllowAny, który ogranicza wyszukiwanie tylko do przestrzeni roboczej kotwicy, a nie do jej opublikowanej encji lub projektu. Nieuwierzytelniony wywołujący znający prawidłową kotwicę i UUID zasobu może pobrać zasoby opisów zgłoszeń lub komentarzy należące do nieopublikowanych lub prywatnych projektów w tej przestrzeni.

W Plane przed wersją 1.4.0 uwierzytelniony członek przestrzeni roboczej o niskich uprawnieniach, w tym Gość, może przesłać plik image/svg+xml jako załącznik ogólny lub do zgłoszenia. Plik zachowuje kontrolowany przez atakującego nagłówek Content-Type, a endpoint pobierania zasobów tworzy presigned URL z Content-Disposition: inline. W domyślnym wdrożeniu self-hosted MinIO adres URL zasobu jest serwowany z tej samej domeny co aplikacja Plane, co pozwala na wykonanie osadzonego JavaScriptu SVG w kontekście bezpieczeństwa aplikacji. Ofiara, w tym administrator przestrzeni roboczej, otwierając link, może mieć przejętą sesję poprzez stored XSS, co prowadzi do przejęcia konta.

W Plane przed wersją 1.4.0 BulkEstimatePointEndpoint.destroy rozwiązuje punkt estymacji poprzez bezpośrednie wyszukiwanie po kluczu głównym, bez ograniczenia do przestrzeni roboczej, projektu lub estymacji. Administrator lub członek jednej przestrzeni roboczej może trwale usunąć punkt estymacji należący do innej przestrzeni, podając docelowy UUID w adresie URL w ramach własnej przestrzeni. Tworzy to destrukcyjny cross-tenant IDOR.

W Plane przed wersją 1.4.0 proces synchronizacji awatarów OAuth pobiera avatar_url z danych użytkownika dostawcy poprzez żądanie HTTP po stronie serwera bez walidacji wewnętrznych adresów IP i domyślnie podąża za przekierowaniami. Atakujący może podać adres URL awatara, który przekierowuje do zasobu wewnętrznego, takiego jak endpoint metadanych, a Plane przesyła pobraną odpowiedź jako plik awatara użytkownika. Obiekt jest następnie udostępniany przez /api/assets/v2/static/{asset_id}/, co pozwala na eksfiltrację wewnętrznie pobranej treści.

W systemie HospitalManagementSystem (onetwothreeneth) wykryto podatność typu SQL injection w pliku transaction_details.php. Manipulacja argumentem transaction_id pozwala na wstrzyknięcie zapytań SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W systemie UNION HospitalManagementSystem wykryto podatność typu SQL injection w pliku patient_info.php. Manipulacja argumentem patient_id pozwala na wstrzyknięcie zapytań SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W Plane (open-source narzędzie do zarządzania projektami) w wersjach przed 1.4.0 występuje podatność XSS. IntakeIssuePublicViewSet.create w wersji 1.3.1 zapisuje description_html bez walidacji przy użyciu validate_html_content z nh3. Uwierzytelniony użytkownik może umieścić dowolny HTML w projekcie z opublikowanym DeployBoard i włączonym intake, a po kliknięciu przez ofiarę następuje wykonanie JavaScriptu i kradzież tokenu API.

W Plane (open-source narzędzie do zarządzania projektami) w wersjach przed 1.4.0 endpoint listy zaproszeń projektowych jest dostępny dla każdego uwierzytelnionego użytkownika znającego slug workspace i ID projektu. Publiczny endpoint akceptacji zaproszenia przyjmuje zaproszenie na podstawie podanego adresu e-mail. Atakujący może wyliczyć zaproszenie, zarejestrować konto na zaproszony e-mail bez weryfikacji skrzynki i zaakceptować zaproszenie, dodając swoje konto do workspace i projektu.

W Plane (open-source narzędzie do zarządzania projektami) w wersjach przed 1.4.0 poprawka dla CVE-2026-27706 i GHSA-jcc6-f9v6-f7jw dotycząca SSRF w odwijaniu linków do elementów pracy jest niekompletna w wersji 1.3.1 GA. Każdy uwierzytelniony członek projektu może zmusić serwer do pobrania wybranych wewnętrznych celów, w tym metadanych chmury pod 169.254.169.254, i odczytać treść odpowiedzi jako tytuł linku lub faviconę.

W Plane (open-source narzędzie do zarządzania projektami) w wersjach przed 1.4.0 walidacja GITEA_HOST sprawdza tylko schemat URL i nie odrzuca hostów rozwiązujących się na prywatne lub wewnętrzne adresy IP. Cztery żądania wychodzące w przepływie OAuth Gitea są tworzone na podstawie tego niezwalidowanego hosta i nie wywołują validate_url(). Dodatkowo avatar_url pochodzi z profilu użytkownika Gitea, gdzie można ustawić zewnętrzne adresy URL. Po włączeniu OAuth Gitea przez administratora, użytkownik Gitea może ustawić wewnętrzny URL jako avatar i zalogować się przez Gitea, powodując pobranie wewnętrznego celu bez walidacji.

W Plane (open-source narzędzie do zarządzania projektami) w wersjach przed 1.4.0 endpointy zasobów dashboardu w plane/app/views/asset/v2.py zostały naprawione pod kątem dwóch cross-tenant IDOR (CVE-2026-27705 i CVE-2026-46558), ale aplikacja Spaces w plane/space/views/asset.py obsługująca operacje publicznych tablic pod /api/public/ nie została naprawiona. EntityAssetEndpoint i AssetRestoreEndpoint rozwiązują DeployBoard z publicznego anchora, a następnie odczytują lub modyfikują wiersze FileAsset w zakresie tylko workspace tablicy, bez sprawdzania członkostwa i ograniczenia project_id. Atakujący może odczytywać, nadpisywać lub przywracać zasoby między projektami i workspace'ami.

W Plane (open-source narzędzie do zarządzania projektami) w wersjach przed 1.4.0 użytkownik, którego konto zostało dezaktywowane przez ustawienie is_active=False, może nadal zalogować się przy użyciu istniejących poświadczeń. Udana autoryzacja po cichu zmienia is_active z powrotem na True, reaktywując konto bez powiadamiania administratora.