Katalog podatności CVE

W Plane (open-source narzędzie do zarządzania projektami) w wersjach przed 1.4.0 poprawka dla CVE-2026-30242 waliduje adresy IP webhooków tylko przy tworzeniu webhooka w apps/api/plane/app/serializers/webhook.py. Zadanie dostarczania w apps/api/plane/bgtasks/webhook_task.py wykonuje osobną resolucję DNS przy wysyłaniu żądania i nie waliduje rozwiązanego adresu IP, co pozwala na DNS rebinding i obejście ochrony SSRF.

W Plane (open-source narzędzie do zarządzania projektami) w wersjach przed 1.4.0 DuplicateAssetEndpoint pobiera źródłowy FileAsset bez ograniczenia do workspace wywołującego, co pozwala na duplikację zasobów między workspace'ami. WorkspaceFileAssetEndpoint i legacy FileAssetEndpoint pomijają autoryzację workspace, umożliwiając uwierzytelnionym użytkownikom odczyt, tworzenie, modyfikację lub usuwanie zasobów w workspace'ach, których nie są członkami. Dodatkowo WorkspaceViewViewSet.retrieve nie ma dekoratora autoryzacji używanego przez inne akcje, co odsłania nieautoryzowany odczyt widoków workspace.

FacturaScripts przed wersją 2026.7 zawiera podatność na wstrzykiwanie obiektów PHP w funkcji WidgetSelect::processFormData(), która pozwala uwierzytelnionym atakującym wywołać unserialize() na surowych danych POST bez filtra allowed_classes dla pól wielokrotnego wyboru. Atakujący mogą przesłać zserializowany obiekt XLSXWriter jako wartość pola, aby wywołać jego metodę __destruct(), usuwając dowolne pliki wskazane przez atakującego, takie jak config.php lub dane kopii zapasowej, co prowadzi do odmowy usługi i potencjalnego przejęcia reinstalacji aplikacji.

W operatorze HyperShift znaleziono błąd polegający na tym, że operator kopiuje dostarczone przez użytkownika sekrety konfiguracji Kubernetes (kubeconfig) bezpośrednio do uprzywilejowanej przestrzeni nazw płaszczyzny sterowania bez odpowiedniej walidacji i sanityzacji. Uwierzytelniony użytkownik z uprawnieniami do tworzenia klastrów i sekretów może wykorzystać tę podatność, dostarczając konfigurację zawierającą nieautoryzowane wykonywalne wtyczki. Gdy kontrolery niższego poziomu konsumują tę konfigurację, atakujący może osiągnąć arbitralne wykonanie kodu w płaszczyźnie sterowania.

Podatność typu Reflected Cross-site Scripting (XSS) w wtyczce Adsmonetizer (adsensei-b30) autorstwa Jose Fernandez. Problem dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Podatność występuje we wszystkich wersjach do 3.2.4 włącznie.

W Eclipse Che w wersjach 7.29.0 i późniejszych, endpointy GET `/api/scm/resolve` i POST `/api/factory/resolver` przekazują kontrolowany przez atakującego URL do `URLFetcher.fetch()`, który wywołuje `new URL(url).openConnection()` bez listy dozwolonych schematów lub hostów i zwraca treść odpowiedzi do wywołującego. Każdy uwierzytelniony użytkownik Che może czytać dowolne pliki lokalne (w tym token konta usługowego Kubernetes), uzyskiwać dostęp do wewnętrznych usług HTTP i endpointów metadanych chmury, a także przekazywać swoje przechowywane tokeny SCM jako nagłówek Authorization do wybranego hosta. To samo zachowanie występuje, gdy ofiara otwiera przestrzeń roboczą ze złośliwego devfile, którego `parent.uri` wskazuje na serwer kontrolowany przez atakującego, co umożliwia eksfiltrację tokenu PAT ofiary bez bezpośredniego dostępu do API. Brak dostępnej poprawki.

auto-changelog przed wersją 2.6.1 scala konfigurację z repozytorium docelowego (plik .auto-changelog i klucz auto-changelog w package.json) do swoich opcji i honoruje wrażliwe na bezpieczeństwo opcje z tego niezaufanego źródła. Opcja handlebarsSetup jest przekazywana do require(), więc uruchomienie auto-changelog na zawartości kontrolowanej przez atakującego (np. w CI, które sprawdza głowę niezaufanego pull requesta, lub lokalnie na forku) wykonuje kod wybrany przez atakującego z uprawnieniami użytkownika lub zadania CI, w tym dostęp do sekretów workflow, bez instalowania zależności repozytorium. Opcja plugins podobnie ładuje moduły kontrolowane przez atakującego z repozytorium. W tych samych warunkach appendGitLog/appendGitTag umożliwiają wstrzyknięcie argumentów git (np. --output= do zapisu dowolnych plików), output pozwala pisać treści wpływające na atakującego do dowolnych ścieżek, a template powoduje żądanie wychodzące do wybranego przez atakującego URL. Wersja 2.6.1 traktuje konfigurację w repozytorium jako niezaufaną i odmawia uruchomienia, gdy ustawia te opcje, chyba że przekazano nowy flag --unsafe-config.

W systemie HospitalManagementSystem od onetwothreeneth do wersji 9ef91ed6007314b6473110ed699dff76d158f61d zidentyfikowano podatność w nieznanej funkcji pliku php/controller.php. Manipulacja argumentem transaction_idS prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie. Exploit został ujawniony publicznie i może być użyty. Projekt nie odpowiedział na zgłoszenie.

W systemie onetwothreeneth HospitalManagementSystem wykryto błąd w funkcji update_subaccount w pliku php/controller.php (komponent Account Administration). Manipulacja argumentem user_id prowadzi do nieprawidłowej autoryzacji, a podatność może być wykorzystana zdalnie. Exploit został opublikowany i może być użyty.

W narzędziu Plane (wersje od 0.13 do 1.4.0) endpoint InstanceAdminSignUpEndpoint używa InstanceAdmin.objects.first() do sprawdzenia pierwszego administratora i tworzy konto bez transakcji atomowej, blokady wiersza czy zabezpieczenia unikalności. Dwa równoczesne nieuwierzytelnione żądania z różnymi adresami e-mail mogą oba uznać, że nie istnieje administrator instancji, utworzyć osobne konta i otrzymać sesje z uprawnieniami administratora instancji.

W Plane przed wersją 1.4.0 endpoint GET /api/workspaces/{slug}/entity-search/?query_type=user_mention zwraca nazwy wyświetlane, UUID i adresy URL awatarów członków workspace każdemu uwierzytelnionemu użytkownikowi znającemu slug workspace, nawet jeśli nie jest członkiem. Endpoint ujawnia również wiersze ProjectMember w tej samej sytuacji, ponieważ SearchEndpoint dziedziczy BaseAPIView tylko z permission_classes = [IsAuthenticated] i nie sprawdza członkostwa w workspace.

W Plane przed wersją 1.4.0 dwie rodziny endpointów nie weryfikują, czy zagnieżdżone identyfikatory zasobów należą do workspace i projektu wskazanych w URL. Uwierzytelniony użytkownik może odczytywać lub modyfikować szacunki z innego workspace przez PATCH /api/workspaces/{slug}/projects/{project_id}/estimates/{estimate_id}/ oraz wstrzykiwać komentarze do zgłoszenia z innego workspace przez POST /api/workspaces/{slug}/projects/{project_id}/issues/{issue_id}/comments/. ProjectEntityPermission sprawdza członkostwo w workspace i projekcie z URL, ale estimate_id i issue_id są pobierane po kluczu głównym bez potwierdzenia tego samego zakresu.

Rozszerzenie Joomla TF Content w wersjach 2.9.0 - 2.9.4 udostępnia zadanie `records.custom_action` bez uwierzytelnienia, kontroli ACL, CSRF, wyzwalacza zadań, powiązania z treścią lub tokena cron. Gość może podać numeryczny ID dowolnego opublikowanego zadania TF Content i wymusić natychmiastowe wykonanie skonfigurowanego executora.

Biblioteka adm-zip przed wersją 0.6.1 stosuje uniksowe bity uprawnień z wpisu ZIP bezpośrednio do rozpakowanego pliku przez fs.chmodSync(), gdy keepOriginalPermission=true jest przekazane do extractAllTo()/extractEntryTo() — i nigdy nie filtruje bitów setuid/setgid/sticky. Złośliwy ZIP może utworzyć plik wykonywalny z mode 04755, co przy rozpakowywaniu jako root prowadzi do wykonania kodu atakującego z uprawnieniami roota.

ApiAdmin w wersji 5.0 i wcześniejszych jest podatny na Directory Traversal. Endpoint uploadu plików POST /admin/Index/upload w ApiAdmin przyjmuje rozszerzenie przesłanego pliku bez żadnej walidacji (brak białej listy, czarnej listy ani sprawdzania zawartości), a funkcja move_uploaded_file() umieszcza plik w katalogu public/upload/Ymd/ dostępnym przez WWW. Każdy zalogowany administrator może przesłać plik .php i uzyskać do niego bezpośredni dostęp przez HTTP, osiągając zdalne wykonanie kodu na serwerze.

W Plane przed wersją 1.4.0 oprogramowanie pośredniczące aPITokenLogMiddleware loguje klucze API w postaci jawnej. Umożliwia to osobie z niskimi uprawnieniami kradzież kluczy API użytkowników i dalszą eskalację uprawnień.

Pakiety mppx-condition-gate i mppx-token-gate przed wersjami odpowiednio 3.0.0 i 1.0.4 odczytują adres portfela z dostarczonego przez klienta credential.source, sprawdzają czy ten publiczny adres spełnia skonfigurowane warunki on-chain i zwracają potwierdzenie darmowego dostępu bez wywołania weryfikatora płatności lub udowodnienia kontroli nad portfelem. Nieuwierzytelniony atakujący może podać dowolny kwalifikujący się portfel i uzyskać treści wymagające płatności, a przyznane uprawnienia mogą być ponownie użyte przez czas życia pamięci podręcznej.

Kunstmaan CMS przed wersją 7.3.2 wykonuje sprawdzenie blacklisted_extensions z rozróżnianiem wielkości liter w FileHandler::getFilePath, a następnie zapisuje rozszerzenie małymi literami. Uwierzytelniony użytkownik backendu z dostępem do mediów może przesłać plik wykonywalny z mieszaną wielkością liter, np. PHP, który omija sprawdzenie i jest zapisywany w katalogu mediów dostępnym z sieci z wykonywalnym rozszerzeniem małymi literami. Domyślna czarna lista pomija również kilka typów rozszerzeń wykonywalnych przez serwer.

W rozszerzeniu Joomla Phoca Cart w wersjach 5.0.0 - 6.1.8 endpoint pobierania plików zamówień nie weryfikuje tokenów pobierania. Parametry d (download token) i o (order token) są sprawdzane tylko pod kątem niepustości — nigdy nie są porównywane z zapisanymi wartościami download_token / order_token. W rezultacie każdy zdalny użytkownik, w tym gość bez konta, może pobrać cyfrowe towary dowolnego klienta, enumerując kolejne wartości id i podając dowolne niepuste tokeny.

WookTeam w wersji 1.6.6 i wcześniejszych jest podatny na Directory Traversal. Endpoint eksportu zadań projektu /api/project/task/export pobiera dowolny plik z serwera, gdy parametr data jest dostarczony z spreparowanym ładunkiem JSON. Wartość file wewnątrz JSON jest konkatenowana bezpośrednio do storage_path($file) bez normalizacji ścieżki ani sprawdzania granic katalogu, więc directory traversal (../) wychodzi poza katalog storage/ i funkcja response()->download() przesyła dowolny plik czytelny przez proces serwera WWW.