Katalog podatności CVE

Podatność w systemie zarządzania treścią Kirby umożliwia zdalnemu atakującemu ominięcie kontroli lokalnego adresu IP i zainstalowanie Panelu oraz utworzenie pierwszego konta administratora. Problem występuje w wersjach przed 4.9.4 i 5.4.4, gdy serwer działa za odwrotnym proxy, które ustawia nagłówki Forwarded, X-Client-IP lub X-Real-IP.

Podatność na wstrzykiwanie XML w funkcji Large Scale VPN (LSVPN) oprogramowania PAN-OS firmy Palo Alto Networks umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym wstrzyknięcie złośliwej treści XML, co może prowadzić do ujawnienia informacji lub uszkodzenia wewnętrznych danych satelitarnych LSVPN. Panorama, Cloud NGFW i Prisma Access nie są dotknięte tą podatnością.

Metabase przed wersjami 1.58.15, 1.59.12, 1.60.6.3 i 1.61.1.4 deserializuje dowolne obiekty Java zwracane w kolumnach typu OTHER z natywnych zapytań H2 bez walidacji. Uwierzytelniony użytkownik mogący wykonywać natywne zapytania H2 może zdalnie wykonać kod na serwerze Metabase.

Metabase, narzędzie do analityki biznesowej, zawiera podatność umożliwiającą uwierzytelnionemu administratorowi wykonanie dowolnego kodu Java na serwerze poprzez rejestrację spreparowanego połączenia z bazą danych H2. Problem występuje w wersjach od 1.55.0 do 1.58.15.1, 1.59.12, 1.60.6.3 i 1.61.2.

Ruflo w wersji przed 3.16.3 domyślnie udostępnia endpointy MCP bridge POST /mcp i POST /mcp/:group bez uwierzytelniania, co pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie poleceń w kontenerze bridge, odczyt kluczy API dostawcy oraz manipulację wzorcami w AgentDB learning-store.

Podatność w usłudze RTSP rutera MERCURY MIPC252W wynika z niewystarczającej walidacji danych wejściowych. Nieuwierzytelniony atakujący może wysłać żądanie RTSP z nagłówkiem Content-Length, ale bez treści, co powoduje, że parser przechodzi w stan oczekiwania na treść i połyka wszystkie kolejne dane na połączeniu, aż do timeoutu.

Kamera IP MERCURY MIPC252W w wersji oprogramowania 1.0.5 Build 230306 Rel.79931n nie implementuje wygasania nonce w uwierzytelnianiu RTSP Digest. Atakujący z sąsiedniej sieci może przechwycić prawidłową wymianę uwierzytelniającą i powtórzyć wartości nonce oraz odpowiedzi w nowym połączeniu, aby ominąć uwierzytelnianie bez znajomości poświadczeń urządzenia.

Podatność w aplikacji PayRange w wersji 7.0.7 umożliwia wstrzyknięcie JavaScript do WebView w połączeniu z ominięciem SSL. Wstrzyknięcie określonych wywołań funkcji JavaScript pozwala atakującemu opuścić sandbox WebView i wykonać niebezpieczne działania na urządzeniu użytkownika.

Podatność CVE-2026-42486 w XAPI umożliwia użytkownikowi z rolą vm-admin ustawienie parametru VM.platform:hvm_serial, co powinno być zastrzeżone dla roli pool-admin. Pozwala to na dowolny zapis plików w dom0, co może prowadzić do eskalacji uprawnień i naruszenia integralności systemu.

Podatność CVE-2026-23562 w XAPI (XenServer API) umożliwia użytkownikowi z rolą vm-admin konfigurację PCI passthrough, co normalnie jest zarezerwowane dla roli pool-admin. Brak odpowiedniego sprawdzenia uprawnień w jednym z API pozwala na dostęp do nieprzeznaczonego sprzętu hosta.

W XAPI użytkownik z rolą vm-admin może ustawić parametr VM.other_config:storage_driver_domain, oznaczając maszynę wirtualną jako domenę pamięci masowej dla połączenia PBD. Zatrzymanie takiej maszyny może spowodować błędne oznaczenie PBD jako odłączonego, mimo że tak nie jest.

Podatność CVE-2026-23560 w XAPI umożliwia użytkownikowi z rolą vm-admin ustawienie parametru VM.other-config:is_system_domain, co pozwala oznaczyć maszynę wirtualną jako domenę systemową. Takie domeny są ignorowane i pozostawiane uruchomione podczas operacji na hoście lub puli, a także mogą być ukryte przed narzędziami administracyjnymi.

Użytkownik z rolą vm-admin w XAPI może ustawić parametr VBD.other_config:backend-local, co pozwala na przekształcenie dowolnych plików w dom0 w wirtualne dyski (VDI) i przypisanie ich do kontrolowanej maszyny wirtualnej. Umożliwia to nieautoryzowany odczyt i modyfikację plików w domenie 0.

W procesie zamykania domeny przez oxenstored dane węzłów są czyszczone, ale liczniki użycia pozostają wycieknięte. Po ponownym użyciu identyfikatora domeny nowa domena może utworzyć mniej węzłów, zanim zostanie uznana za przekraczającą limit.

Podatność w komponencie varstored stosu Xapi, który obsługuje zmienne UEFI dla maszyn wirtualnych. Brak wystarczających barier kompilatora powoduje problemy TOCTOU (time-of-check time-of-use) w współdzielonym buforze z OVMF, co może pozwolić atakującemu na kontrolowanie indeksu używanego w tablicy skoków.

W XAPI występuje kilka podatności: (1) aktualizacje bazy danych XAPI oczyszczają dane wejściowe, ale powiadomienia są generowane z nieoczyszczonych danych, co powoduje zatrzymanie wątku zdarzeń bazy danych; (2) kodowanie UTF-8 w XAPI jest zgodne ze standardem Unicode v3.0, podczas gdy używane biblioteki wymagają v3.1, co prowadzi do akceptacji nieprawidłowych ciągów znaków, które mogą uniemożliwić załadowanie bazy danych; (3) brak oczyszczania danych wejściowych dla aktualizacji Map/Set na obiektach w bazie danych XAPI.

Podatność CVE-2025-27464 dotyczy sterownika XenBus dla systemu Windows, który nie posiada deskryptora zabezpieczeń, co umożliwia nieuprzywilejowanym użytkownikom pełny dostęp do jego funkcji.

Podatność CVE-2025-27463 dotyczy sterownika XenIface w systemie Windows PV drivers. Brak deskryptora zabezpieczeń umożliwia nieuprzywilejowanym użytkownikom pełny dostęp do tego interfejsu.

Sterowniki Windows PV (XenCons) nie mają deskryptora zabezpieczeń, co pozwala nieuprzywilejowanym użytkownikom na pełny dostęp do funkcji udostępnianych przez ten komponent.

Podatność w Xerte Online Tools umożliwia ominięcie uwierzytelniania i zdalne wykonanie kodu poprzez ponowną instalację przez folder /setup/, co pozwala atakującym na przejęcie kontroli nad usługą i podłączenie jej do zdalnej bazy danych.