Katalog podatności CVE

W urządzeniach Wavlink (WN572, WN570H, WN573, WN529, WN530, WN531, WN535, WN536, WN551, WN557, NU516) do wersji 20260609 wykryto podatność w komponencie lighttpd. Funkcja strcpy w pliku upload.cgi nie sprawdza długości argumentu HTTP_COOKIE, co prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W usłudze Razer RzUpdateService w wersji 1.10.14.0 wykryto podatność w komponencie Named Pipe Handler. Manipulacja argumentem lpThreadParameter w pliku RzUpdateService.exe prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak wymaga dostępu lokalnego, a exploit został opublikowany.

W oprogramowaniu CheckMAL AppCheck Pro 3.1.43.10 wykryto podatność w sterowniku jądra AppCheckD.sys (komponent Kernel Mini-Filter Driver). Nieznana funkcja w bibliotece umożliwia niekontrolowaną ścieżkę wyszukiwania. Atak wymaga dostępu lokalnego, jest trudny do przeprowadzenia, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.

XML::Sig dla Perla w wersjach od 0.29 do 0.71 pozwala na ominięcie weryfikacji podpisu. Funkcja verify zwraca true, gdy każdy podpis został pominięty przed jakimkolwiek sprawdzeniem kryptograficznym. Atakujący może dostarczyć dokument XML z dwoma elementami Signature, których URI odwołuje się do nieistniejącego ID, co powoduje, że verify zwraca true bez sprawdzenia podpisu.

W oprogramowaniu Telenia Software TVox w wersjach 26.5.3 i starszych 26.x oraz 24.9.21 i starszych 24.x wykryto podatność eskalacji uprawnień. Niebezpieczna konfiguracja sudoers w pliku /etc/sudoers.d/telenia pozwala użytkownikowi apache na wykonanie komendy /bin/nice bez hasła, co może być wykorzystane do wykonania dowolnych poleceń jako root.

W bibliotece GitPython przed wersją 3.1.53 wykryto podatność polegającą na nieprawidłowym escapowaniu nazw sekcji w plikach konfiguracyjnych gita. Atakujący może wstrzyknąć złośliwe dyrektywy konfiguracyjne (np. core.sshCommand) poprzez nazwy submodułów, co prowadzi do zdalnego wykonania kodu podczas operacji ssh.

W OpenWrt luci-app-dockerman (wersje LuCI master i openwrt-25.12 z backendem ucode docker_rpc.uc) wykryto podatność wstrzykiwania poleceń systemowych. Metoda docker.container.ttyd_start jest dostępna przez ubus, a handler run_ttyd buduje polecenie powłoki z kontrolowanych przez żądanie pól (id, cmd, uid) i przekazuje do system() bez odpowiedniego cytowania. Uwierzytelniony atakujący z dostępem tylko do ACL odczytu może wstrzyknąć metaznaki powłoki i wykonać dowolne polecenia jako root.

W OpenWrt luci-app-bmx7 przed commitem 5890760a454dad2cb00389dba2cdc5e779e0ffdd wykryto podatność path traversal w skrypcie CGI bmx7-info. Nieuwierzytelniony atakujący może dostarczyć sekwencje nawigacji po katalogach w parametrze zapytania, aby odczytać pliki poza skonfigurowanym katalogiem runtimeDir.

W systemie Admidio przed wersją 5.0.11 wykryto podatność ominięcia uwierzytelniania w module forum, gdy jest on skonfigurowany w trybie login-only. Logika kontroli dostępu w pliku modules/forum.php nie sprawdza poprawnie stanu konfiguracji, co pozwala nieuwierzytelnionym atakującym na odczyt tematów i postów na forum.

W Grav CMS w wersji 2.0.10 wykryto podatność path traversal w metodzie ImageMedium::watermark(). Funkcja przekazuje niesanitowany argument $image do UniformResourceLocator::findResource(), który tylko leksykalnie usuwa segmenty '..' bez sprawdzania rzeczywistej ścieżki. Edytor z uprawnieniami do tworzenia treści może użyć składni Markdown z sekwencjami nawigacji, aby wkomponować dowolne pliki graficzne spoza sandboksa mediów do obrazu nośnego, który jest następnie serwowany publicznie.

W Grav CMS w wersjach 2.0.7 do 2.0.10 wykryto podatność polegającą na braku walidacji w pełni kwalifikowanych wywołań metod statycznych (Class::method) w dyrektywach dynamicznych blueprintów. Funkcja Blueprint::isSafeDynamicCall() stosuje listę blokowanych wywołań tylko do ciągów niezawierających '::'. Osoba z uprawnieniami edytora stron (admin.pages) może umieścić dyrektywę w frontmatterze strony, która wywołuje dowolną publiczną statyczną metodę PHP z kontrolowanymi argumentami. Możliwe jest odczytanie dowolnych plików i tworzenie/kopiowanie plików i katalogów.

SiYuan przed wersją 3.7.3 nie waliduje parametru avID w endpointach odczytu widoku atrybutów, co umożliwia atakującym konstruowanie ścieżek traversal wychodzących poza katalog przechowywania danych. Uwierzytelnieni użytkownicy z uprawnieniami RoleReader lub anonimowi klienci (gdy uwierzytelnianie publikacji jest wyłączone) mogą odczytywać pliki JSON poza katalogiem widoku atrybutów, ujawniając zawartość bazy danych spoza zakresu.

SiYuan przed wersją 3.7.3 zawiera podatność na ujawnienie informacji w endpointach getHeadingDeleteTransaction, getHeadingLevelTransaction i getHeadingInsertTransaction, które zwracają DOM renderowanego bloku bez sprawdzania uprawnień dostępu do publikacji. Anonimowi czytelnicy lub tokeny RoleReader w trybie publikacji mogą podać identyfikator bloku nagłówka, aby odczytać pełną renderowaną treść dokumentów, które powinny być ograniczone.

SiYuan przed wersją 3.7.3 nie stosuje filtrów dostępu publikacji do endpointów treści getBacklinkDoc i getBackmentionDoc. Podczas gdy odpowiadające im endpointy listy backlinków filtrują dokumenty wyłączone z publikacji, endpointy treści (chronione tylko przez CheckAuth) tego nie robią. Czytelnik w trybie publikacji – w tym anonimowy, gdy Basic Auth jest wyłączone – może wywołać te endpointy bezpośrednio z identyfikatorem dokumentu wyłączonego z publikacji, aby pobrać jego renderowaną treść DOM oraz sprawdzić, czy dokument odwołuje się do danego bloku (oracle istnienia referencji).

SiYuan przed wersją 3.7.3 zawiera podatność na obejście uwierzytelniania w trybie publikacji. Endpointy zwracające treść, takie jak getHeadingChildrenDOM, getHeading*Transaction i getBacklinkDoc, nie wykonują sprawdzenia hasła, mimo że główny endpoint getDoc jest chroniony. Anonimowi atakujący mogą pobrać pełną treść dokumentów chronionych hasłem, uzyskując wewnętrzne identyfikatory bloków z endpointów dostępnych dla czytelników i wywołując niechronione endpointy treści, aby ominąć blokadę hasła.

Telenia Software TVox w wersjach 26.5.3 i starszych 26.x oraz 24.9.21 i starszych 24.x zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku action_audio.php. Uwierzytelnieni atakujący mogą wykonać dowolne polecenia systemowe, przekazując niesanitizowany parametr pid do wywołania exec(), gdy parametr action jest ustawiony na checkProcess. Atakujący mogą wstrzykiwać złośliwe polecenia przez parametr pid, aby wykonać dowolne polecenia z uprawnieniami użytkownika apache.

Podatność na deserializację niezaufanych danych w eta-otp-lock firmy TUBITAK BILGEM Software Technologies Research Institute umożliwia wstrzykiwanie obiektów. Problem dotyczy wersji eta-otp-lock przed 1.0.4.

W GL.iNet GL-MT3000 do wersji 4.4.5 stwierdzono podatność na wstrzykiwanie poleceń w funkcji network.switch_info/network.switch_status w pliku /usr/lib/oui-httpd/rpc/network komponentu Network Lua RPC Plugin. Manipulacja argumentem switch prowadzi do wstrzyknięcia polecenia. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany.

Podatność w bibliotece Net::SAML2 dla Perla (wersje przed 0.86) umożliwia ominięcie uwierzytelniania SAML poprzez zawijanie podpisu XML. Funkcja new_from_xml odczytuje tożsamość asercji za pomocą XPath działającego na całym dokumencie, a nie na podpisanym poddrzewie, co pozwala atakującemu na dodanie niepodpisanej asercji przed podpisaną i przejęcie tożsamości użytkownika.

Podatność w bibliotece Net::SAML2 dla Perla (wersje przed 0.86) umożliwia ominięcie uwierzytelniania SAML poprzez weryfikację odpowiedzi względem certyfikatu osadzonego w odpowiedzi, gdy nie skonfigurowano kotwicy zaufania. Funkcja verify_xml akceptuje odpowiedź podpisaną kluczem atakującego, co pozwala na uwierzytelnienie dowolnej asercji.