Katalog podatności CVE

APIPark do wersji 1.9.7-beta zawiera lukę niebezpiecznego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom odczytać poświadczenia innych aplikacji przez podanie obcego UUID autoryzacji. Atakujący z uprawnieniem authorization-view w jednej aplikacji może odpytać /api/v1/app/authorization lub trasę szczegółów, aby uzyskać klucze API w postaci jawnej, niezależnie od HideCredential.

Odoo MCP 1.0.0 do 1.3.2 zawiera podatność na ujawnienie informacji, która pozwala klientom MCP ominąć kontrolę dostępu na poziomie pól poprzez narzędzie execute_method. Atakujący lub agenci z wstrzykniętym promptem mogą wywołać read lub search_read przez execute_method, podając nazwy zabronionych pól, aby otrzymać ich wartości bez maskowania.

Predibase LoRAX do wersji 0.12.1 zawiera podatność na ekspozycję wrażliwych informacji, która zapisuje dostarczony przez wywołującego api_token z treści żądań POST /generate w logach routera. Atakujący mający dostęp do logów routera lub backendów śledzenia OTLP mogą odzyskać tokeny prywatnych adapterów innych użytkowników, zapisane w polu spanu GenerateParameters.

UnicomAI Wanwu do wersji 0.6.5 zawiera podatność na obejście autoryzacji, która pozwala uwierzytelnionym użytkownikom tworzyć AppKeys powiązane z serwerami MCP innych użytkowników przez POST /v1/appspace/app/key. Atakujący podający UUID serwera MCP ofiary z appType mcpserver mogą otwierać sesje MCP i wywoływać narzędzia serwera, używając uwierzytelniania ofiary.

UnicomAI Wanwu do wersji 0.6.5 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu aktywnemu użytkownikowi odwoływać AppKeys innych użytkowników dla dowolnych aplikacji przez punkt końcowy unpublish. Atakujący mogą podać docelowe appId i appType z marketplace, aby usunąć wiersze api_key innych użytkowników w różnych organizacjach, odcinając dostęp klientów MCP i OpenAPI.

Wanwu przed wersją 0.6.3 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu, która pozwala każdemu uwierzytelnionemu aktywnemu użytkownikowi usuwać AppKeys innych użytkowników przez podanie numerycznego apiId. Atakujący mogą iterować po sekwencyjnych identyfikatorach kluczy w DELETE /v1/appspace/app/key, aby odwołać klucze w różnych organizacjach, przerywając działanie klientów MCP i OpenAPI.

Deep Chat do wersji 2.5.1 zawiera podatność na cross-site scripting, która pozwala atakującym wstrzykiwać linki javascript: ponieważ RemarkableConfig.createNew wyłącza walidację linków Remarkable. Atakujący mogą umieszczać spreparowane linki Markdown w odpowiedziach AI, treści addMessage lub załadowanej historii, aby wykonać skrypt w osadzonej stronie, gdy ofiary je klikną.

Company Research Agent do wersji 2.2.0 zawiera podatność na server-side request forgery, która pozwala nieuwierzytelnionym atakującym wywoływać żądania wychodzące przez wstrzyknięcie niezmaskowanego znacznika akapitu ReportLab do punktu końcowego /generate-pdf. Atakujący mogą osadzić elementy img w report_content, aby serwer pobierał zasoby z wewnętrznych lub zewnętrznych hostów, ujawniając odpowiedzi obrazów w zwracanych plikach PDF i badając dostępność.

thClaws do wersji 0.141.0 zawiera podatność na podążanie za linkami w handlerze post_inputs API v1 POST /v1/inputs, która pozwala na zapis poza obszarem roboczym przez podążanie za dowiązaniami symbolicznymi. Atakujący, którzy umieszczą dowiązanie symboliczne pod dozwolonym prefiksem inputs/, mogą spowodować, że późniejsze uwierzytelnione przesyłania zapiszą lub obetną pliki poza obszarem roboczym z uprawnieniami demona.

hyper-mcp do wersji 0.8.3 zawiera podatność na nieprawidłową weryfikację podpisu, która pozwala atakującym ładować złośliwe wtyczki WebAssembly, ponieważ cosign_verify_args() domyślnie akceptuje dowolną tożsamość podpisującego i wystawcę OIDC. Atakujący kontrolujący referencję obrazu wtyczki mogą podpisać złośliwy obraz darmowym certyfikatem Sigstore keyless, aby wykonać wtyczki z skonfigurowanymi możliwościami hosta, systemu plików i środowiska.

hyper-mcp do wersji 0.8.3 zawiera podatność na obejście weryfikacji podpisu w load_wasm w src/wasm/oci.rs, która weryfikuje podpis Cosign osobno rozwiązanego tagu, a nie załadowanego manifestu. Atakujący kontrolujący odpowiedzi rejestru dla tagu mogą dostarczyć niepodpisany złośliwy manifest do ładowarki i podpisany do Cosign, wykonując niepodpisane wtyczki WebAssembly z skonfigurowanymi możliwościami hosta.

CoreShop do wersji 2026.2.2 zawiera podatność braku autoryzacji, która pozwala użytkownikom backendu o niskich uprawnieniach na listowanie zasobów z ograniczonym dostępem, ponieważ ResourceController listAction pomija sprawdzenie isGrantedOr403(). Uwierzytelnieni użytkownicy Pimcore bez uprawnień do zasobów mogą żądać wygenerowanych tras list, aby wyliczyć dostawców płatności, przewoźników, reguły cenowe, sklepy i reguły podatkowe, w tym ich identyfikatory, nazwy i identyfikatory.

W zhayujie CowAgent do wersji 2.1.7 odkryto lukę bezpieczeństwa. Dotyczy ona nieznanej funkcji w pliku channel/web/web_channel.py komponentu Web Console. Manipulacja argumentem session_id prowadzi do odmowy usługi. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Wersja 2.1.7 (commit dec28324) tylko częściowo łagodzi problem poprzez limit 512MB.

mistral.rs 0.9.0 do 0.9.4 zawiera podatność polegającą na podążaniu za linkami w mistralrs-code-exec, która pozwala kodowi w piaskownicy na odczyt i nadpisanie plików poza piaskownicą poprzez dowiązania symboliczne. Atakujący lub agenci z prompt injection mogą nazwać dowiązania symboliczne jako wyniki lub używać sesji z dowiązanymi ścieżkami wejściowymi, aby uzyskać dostęp do plików z uprawnieniami procesu serwera.

Nexting pinclaw OpenClaw channel plugin do wersji 0.3.0 zawiera podatność braku uwierzytelnienia w src/core/http-router.ts, która pomija sprawdzenie authToken na POST /pinclaw/send. Nieuwierzytelnieni atakujący, którzy dotrą do portu 18790 (domyślnie nasłuchującego na wszystkich interfejsach), mogą wstrzykiwać ślepe prompty do głównej sesji agenta OpenClaw użytkownika jako instrukcje użytkownika.

Abilityai Trinity do wersji 0.9.5 zawiera podatność braku autoryzacji w routerze Telegram, która pozwala kluczom API MCP o zakresie agenta na wykonywanie operacji wiązania przeznaczonych tylko dla ludzi. Atakujący kontrolujący agenta, zazwyczaj przez prompt injection, mogą wysyłać wiadomości przez token bota właściciela, zastąpić wiązanie własnym tokenem lub je usunąć.

Hatchet do wersji 0.110.5 zawiera podatność polegającą na alokacji zasobów bez limitów, która pozwala nieuwierzytelnionym atakującym na wyczerpanie pamięci poprzez punkt końcowy SNS ingestion. Atakujący mogą wysyłać dowolnie duże lub współbieżne ciała żądań do POST /api/v1/sns/{tenant}/{event} z dowolnym UUID, które SnsUpdate handler buforuje przed weryfikacją podpisu, obniżając dostępność.

JupyterHub do wersji 6.0.1 zawiera podatność kolizji identyfikatorów, która pozwala uwierzytelnionym użytkownikom na nadpisanie klienta OAuth nazwanego serwera innego użytkownika poprzez rejestrację nazwy użytkownika z łącznikiem. Atakujący posiadający nazwę taką jak alice-prod mogą nadpisać klienta dla serwera alice o nazwie prod, co łamie logowanie OAuth i odwołuje tokeny poprzez zatrzymanie własnego serwera.

MoAI-ADK do wersji 3.1.2 zawiera podatność nieprawidłowego rozwiązywania linków w deployerze szablonu moai init, która pozwala złośliwym repozytoriom na nadpisywanie plików poza projektem poprzez dowiązany symbolicznie katalog .moai-tmp. Atakujący mogą umieścić dowiązanie symboliczne, takie jak .claude/settings.json.moai-tmp, aby atomicWriteFile obcinał i nadpisywał pliki zapisywalne przez ofiarę zawartością szablonu MoAI.

OpenDocMan 2.4.0 do 2.10.0 zawiera podatność bomby dekompresyjnej, która pozwala uwierzytelnionym użytkownikom na wyczerpanie pamięci PHP poprzez upload spreparowanych dokumentów biurowych. Atakujący mogą przesłać mały plik ODT, DOCX lub XLSX, którego wpisy XML dekompresują się do setek megabajtów, powodując awarię procesów PHP i obniżenie dostępności.