Katalog podatności CVE

W produkcie Mediküm Web firmy Webbeyaz Web Design wykryto podatność na wstrzykiwanie SQL (SQL injection) spowodowaną nieprawidłową neutralizacją specjalnych elementów w zapytaniach SQL. Luka umożliwia atakującemu wykonanie dowolnych poleceń SQL w bazie danych.

Podatność w bibliotece Imager dla Perla przed wersją 1.033 polega na błędnym traktowaniu liczników wpisów EXIF IFD jako liczb ze znakiem, co może prowadzić do próby alokacji ogromnego bloku pamięci i awarii procesu. Atakujący może wykorzystać to, tworząc obraz z odpowiednio spreparowanymi danymi EXIF, aby przerwać działanie procesu roboczego.

Nieuwierzytelnieni atakujący mogą dostarczyć złośliwy adres URL JDBC H2 przez interfejs API testConnection, co umożliwia wykonanie dowolnego kodu Java na serwerze za pomocą parametru INIT H2. Podatność dotyczy Apache Gravitino przed wersją 1.2.1.

Podatność nieprawidłowego uwierzytelniania w DELMIA Apriso od wersji 2020 do 2026 umożliwia atakującemu uzyskanie uprzywilejowanego dostępu do serwera.

Wtyczka WP Learn Manager dla WordPressa do wersji 1.1.8 włącznie zawiera podatność polegającą na pominięciu autoryzacji. Niezalogowani atakujący mogą wykorzystać ten błąd do instalowania i aktywowania dowolnych wtyczek z repozytorium WordPress.org na podatnej stronie.

Wtyczka Eventer dla WordPressa do wersji 4.4.2 włącznie przechowuje klucz resetowania hasła w postaci zwykłego tekstu w polu meta użytkownika `eventer_verification_code`. W połączeniu z inną podatnością, taką jak SQL Injection (CVE-2026-9700), nieuwierzytelniony atakujący może wyodrębnić ten klucz i przejąć konto dowolnego użytkownika, w tym administratora.

Wtyczka Simple Coherent Form dla WordPressa do wersji 2.4.13 włącznie zawiera podatność na usuwanie dowolnych plików z serwera. Funkcja removeUploadDir nie weryfikuje poprawnie ścieżek plików, a endpoint scf_get_id_upload udostępnia nieuwierzytelnionym użytkownikom ważny token nonce. Dodatkowo, zabezpieczenie oparte na zaszytej w kodzie soli może być łatwo ominięte.

Podatność w WebPros Plesk przed wersją 18.0.78.4 umożliwia niskouprzywilejowanemu, uwierzytelnionemu klientowi przeglądanie domen, których nie jest właścicielem. Dzieje się tak z powodu nieprawidłowej autoryzacji w API XML-RPC, gdzie własność jest wymuszana tylko dla niektórych filtrów wyszukiwania, a walidacja schematu jest pomijana dla starszych wersji protokołu.

Komponent openmemory/api w projekcie mem0 zawiera lukę umożliwiającą nieuwierzytelnionym atakującym odczyt, zapis i usuwanie dowolnych pamięci użytkowników poprzez dostęp do routerów API zarejestrowanych bez middleware uwierzytelniającego. Atakujący mogą podać dowolny parametr user_id lub bezpośrednio uzyskać dostęp do punktów końcowych pobierania pamięci, ujawniając prywatne treści, a także wywołać punkty końcowe pauzy z parametrem global_pause=true, powodując odmowę usługi dla wszystkich użytkowników.

Smartwatch Fire-Boltt FB BGS001 z firmware MOY-JS14-2.0.4 ma podatność polegającą na niewłaściwym uwierzytelnianiu. Urządzenie akceptuje komendy GATT Write Request bez wystarczającego uwierzytelnienia lub silnej walidacji sesji. W określonych warunkach możliwe jest odtworzenie wcześniej przechwyconych pakietów BLE z pobliskiego urządzenia w celu wywołania funkcji na smartwatchu.

Kamera bezpieczeństwa Trueview T18161-AF w wersji oprogramowania 4.9.60.0 zawiera podatność umożliwiającą ominięcie uwierzytelniania. Problem wynika z nieprawidłowej walidacji hasła oraz obecności zakodowanych na stałe poświadczeń w oprogramowaniu sprzętowym.

Podatność w bibliotece DBI dla języka Perl przed wersją 1.650 powoduje odczyt o jeden bajt poza dozwolonym obszarem pamięci podczas przetwarzania początkowego komentarza SQL w metodzie preparse. Problem występuje przy usuwaniu komentarza na początku zapytania SQL.

Podatność w bibliotece DBI dla Perla przed wersją 1.650 powoduje przepełnienie sterty podczas wstępnego parsowania zapytań SQL zawierających ekstremalnie dużą liczbę placeholderów. Poprawka dla CVE-2026-10879 nie alokowała wystarczającej ilości pamięci do obsługi około 1,2 miliona placeholderów. Wersja 1.650 wprowadza twardy limit 99 999 placeholderów.

Podatność w mem0 ujawnia nieuwierzytelnione endpointy API konfiguracji, które udostępniają klucze API LLM w postaci jawnego tekstu oraz umożliwiają fałszowanie żądań po stronie serwera (SSRF) poprzez kontrolowany przez atakującego parametr ollama_base_url. Nieuwierzytelniony atakujący może pobrać przechowywane sekrety, takie jak klucze API OpenAI, za pomocą żądania GET /api/v1/config/ lub przeprowadzić atak SSRF, ustawiając ollama_base_url na adresy wewnętrzne, np. cloud IMDS, za pomocą żądania PUT /api/v1/config/mem0/llm.

W Coder przed wersjami 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2 i 2.33.3 funkcja `azureidentity.Validate()` nie weryfikuje podpisu PKCS#7, a jedynie sprawdza, czy certyfikat podpisującego pochodzi od zaufanego urzędu certyfikacji Azure. Atakujący może osadzić prawdziwy certyfikat Azure wraz z dowolną treścią, np. `{"vmId":"<target>"}`, a sfałszowane `vmId` zostanie zaakceptowane, co umożliwi przejęcie tokena sesji agenta ofiary.

Cognee przed wersją 1.2.0 zawiera podatność polegającą na niewłaściwej kontroli dostępu, która umożliwia nieuwierzytelnionym atakującym nadpisanie globalnej konfiguracji dostawcy LLM poprzez samodzielne zarejestrowanie konta i wywołanie endpointu ustawień, który nie wykonuje żadnej kontroli administratora lub superużytkownika. Atakujący mogą przekierować wszystkie operacje LLM w całej instancji na kontrolowany przez siebie endpoint, wykorzystując globalny singletonowy cache konfiguracji, co umożliwia eksfiltrację promptów, przesłanych dokumentów, wyodrębnionych encji oraz treści grafu wiedzy od wszystkich użytkowników.

9Router przed wersją 0.4.44 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w nieuwierzytelnionym punkcie końcowym POST /api/tunnel/tailscale-install. Pole sudoPassword z ciała żądania jest przekazywane do standardowego wejścia procesu 'sudo -S sh', co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemowych.

Esri Portal for ArcGIS w wersjach 12.1 i starszych na Windows, Linux i Kubernetes posiada podatność braku uwierzytelniania dla krytycznej funkcji, umożliwiającą zdalnemu, nieuwierzytelnionemu atakującemu dostęp do niezabezpieczonego API.

W systemie Dell PowerProtect Data Domain wykryto podatność związaną z nieprawidłowym uwierzytelnianiem. Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu. Podatność ma krytyczny poziom ważności, ponieważ umożliwia przejęcie pełnej kontroli nad systemem.

W systemie Dell PowerProtect Data Domain wykryto podatność polegającą na nieprawidłowym ograniczeniu ścieżki do zastrzeżonego katalogu (Path Traversal). Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę lukę, uzyskując nieautoryzowany dostęp do systemu. Podatność ma krytyczny poziom ważności, ponieważ umożliwia przejęcie pełnej kontroli nad systemem.