Katalog podatności CVE

Kiteworks Email Protection Gateway w wersjach przed 9.5.0 jest podatny na podatność przejścia ścieżki (path traversal) w funkcji importu administracyjnego, co pozwala uwierzytelnionemu administratorowi na zapis plików w dowolnych lokalizacjach na serwerze. Może to potencjalnie zostać wykorzystane do wykonania dowolnego kodu w systemie bazowym.

Inspur Haiyue HCM Cloud zawiera podatność na dowolne odczytanie plików w punkcie końcowym /api/model_report/file/download, która pozwala nieuwierzytelnionym zdalnym atakującym na odczyt dowolnych plików poprzez podanie niezwalidowanych parametrów ścieżki index i ext. Atakujący mogą tworzyć żądania takie jak /api/model_report/file/download?index=/&ext=<path>, aby przejść przez system plików i ujawnić wrażliwe pliki, w tym /etc/passwd, pliki bazy danych aplikacji i pliki konfiguracyjne systemu. Dowody eksploatacji zostały po raz pierwszy zaobserwowane przez Shadowserver Foundation w dniu 2024-11-04.

Yonyou U8 CRM w wersjach przed V16.5 i V18 zawiera podatność na dowolne odczytanie plików w /ajax/getemaildata.php, która pozwala nieuwierzytelnionym atakującym na obejście uwierzytelniania za pomocą parametru DontCheckLogin=1 i odczyt dowolnych plików poprzez niezwalidowany parametr filePath. Atakujący mogą wykorzystać tę lukę do odczytu wrażliwych plików poza katalogiem aplikacji internetowej, w tym plików konfiguracyjnych zawierających poświadczenia do bazy danych lub usług. Dowody eksploatacji zostały po raz pierwszy zaobserwowane przez Shadowserver Foundation w dniu 2023-10-14.

iDocView zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym /doc/upload, która pozwala zdalnym nieuwierzytelnionym atakującym na pobieranie dowolnych adresów URL poprzez podanie zakodowanej na stałe wartości tokenu (testtoken) w celu obejścia uwierzytelniania. Atakujący mogą wykorzystać nieograniczoną obsługę schematów URL, w tym URI file://, do odczytu dowolnych plików lokalnych, takich jak pliki konfiguracyjne systemu operacyjnego i aplikacji, oraz do dotarcia do wewnętrznych hostów i usług sieciowych, które w innym przypadku byłyby niedostępne. Dowody eksploatacji zostały po raz pierwszy zaobserwowane przez Shadowserver Foundation w dniu 2024-03-26.

pypdf to darmowa i otwartoźródłowa biblioteka PDF w czystym Pythonie. W wersjach przed 6.18.0 spreparowany plik PDF zawierający identyfikatory obiektów pośrednich lub tokeny numeru generacji, które ciągną się długo bez białych znaków, może spowodować, że pypdf/_reader.py i pypdf/generic/_base.py będą skanować nadmierne dane wejściowe przez read_until_whitespace, co prowadzi do długiego czasu działania i niedostępności aplikacji. Problem został naprawiony w wersji 6.18.0.

pypdf to darmowa i otwartoźródłowa biblioteka PDF w czystym Pythonie. W wersjach przed 6.17.0 spreparowany plik PDF może zawierać nietypowo duże wartości rzymskich etykiet stron, które powodują, że pypdf/_page_labels.py generuje nadmiernie duże ciągi liczbowe, gdy aplikacja pobiera etykiety stron dokumentu, zużywając duże ilości pamięci i potencjalnie czyniąc aplikację niedostępną. Problem został naprawiony w wersji 6.17.0.

basic-ftp przed wersją 6.2.1 zawiera podatność na atak typu ReDoS (Regular Expression Denial of Service) w funkcji Client.list(). Złośliwy lub skompromitowany serwer FTP może wymusić kwadratowy wzrost czasu procesora podczas parsowania listy katalogów, co blokuje pętlę zdarzeń Node.js i zamraża proces.

ZeroClaw przed wersją 0.8.5 (z funkcją plugins-wasm) zawiera podatność na path traversal podczas instalacji wtyczek, która nie waliduje pola wasm_path w manifeście. Atakujący mogą nakłonić użytkowników do instalacji spreparowanych wtyczek, które zapisują dowolne pliki poza katalogiem wtyczek, np. pliki startowe powłoki, umożliwiając wykonanie kodu.

OpenClaw Windows Node przed wersją 2026.7.1 zawiera niekompletny mechanizm sanityzacji zmiennych środowiskowych w system.run, który nie blokuje zmiennych GIT_CONFIG_*, DOTNET_STARTUP_HOOKS i JAVA_TOOL_OPTIONS. Atakujący z dostępem do bramki lub agenta mogą dostarczyć te zmienne do dozwolonych narzędzi, takich jak git, dotnet czy java, aby załadować kontrolowany przez siebie kod i uzyskać dowolne wykonanie kodu.

OpenClaw Windows Node przed wersją 2026.7.1 zawiera niekompletną walidację w system.execApprovals.set, która akceptuje reguły z wildcardami i nadużywalne binaria systemowe, takie jak mshta, rundll32 i certutil. Zdalni wywołujący mogą dodać szerokie reguły zezwoleń, aby wykonywać dowolne polecenia na hoście Windows przez system.run bez kontroli operatora lub monitów użytkownika.

OpenClaw Windows Node przed wersją 2026.7.1 zawiera podatność na nieprawidłową autoryzację w polityce zatwierdzania wykonywania poleceń system.run, gdzie ExecShellWrapperParser nie dzieli poleceń na operatorach potoku ani nie wyodrębnia podstawień poleceń. Połączone bramki lub agenci mogą ominąć reguły zatwierdzania, umieszczając zabronione polecenia za dozwolonymi prefiksami za pomocą operatorów potoku lub składni podstawienia poleceń, uzyskując dowolne wykonywanie poleceń na hoście Windows.

Wtyczka Schema & Structured Data for WP & AMP w wersji 1.66 i starszych zawiera podatność na PHP Object Injection, która może być wykorzystana przez użytkownika z rolą Contributor. Podatność pozwala na wstrzyknięcie zserializowanych obiektów PHP, co może prowadzić do wykonania dowolnego kodu lub innych nieautoryzowanych działań.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Photonic Gallery & Lightbox dla Flickr, SmugMug i innych, w wersjach do 3.36 włącznie.

Podatność na wstrzyknięcie obiektów PHP (Object Injection) w Page Builder by SiteOrigin, w wersjach do 2.36.0 włącznie, wymagająca uprawnień edytora.

Wtyczka CURCY (woo-multi-currency) od VillaTheme w wersji 2.2.18 zawiera podatność na DOM-Based XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej.

Tugtainer przed wersją 1.31.3 ma podatność polegającą na tym, że po zakończeniu logowania OIDC, kod backendu dekoduje id_token bez weryfikacji podpisu, odbiorcy (aud), wystawcy (iss) i ważności (exp). Wyodrębnione dane są używane jako identyfikator użytkownika sesji.

MineAdmin przed wersją 3.2.0-alpha.2 ma podatność w usłudze sklepu z wtyczkami, gdzie niesanitizowane identyfikatory są łączone ze ścieżkami plików. Atakujący może użyć sekwencji przejścia do katalogów (np. ../) do odczytu, instalacji lub odinstalowania wtyczek z dowolnych katalogów oraz potencjalnie wykonać dowolne komendy composera.

Taskcluster przed wersją 100.3.0 jest podatny na nieuwierzytelnione zdalne wykonanie kodu (RCE) w środowiskach, gdzie anonimowa rola udostępnia endpoint GraphQL i parsuje argumenty filtrów za pomocą biblioteki sift.

Reachy Mini ISO for Wireless przed wersją 0.2.4 zawiera zbyt szeroki wpis sudoers, który daje użytkownikowi pollen (uid 1000) bezhasłowy dostęp sudo do /usr/bin/systemctl bez ograniczeń. To pozwala na lokalną eskalację uprawnień (LPE) do pełnego roota.

yii2-starter-kit do wersji 4.2.0 nie waliduje typów plików w akcjach przesyłania plików w backendzie, co pozwala uwierzytelnionym menedżerom na przesyłanie plików PHP. Atakujący z rolą menedżera może przesłać skrypty PHP do katalogu dostępnego z sieci i wykonać dowolny kod na serwerze.