Katalog podatności CVE

Logto pomija walidację elementu SAML <Conditions>, co umożliwia atakującym usunięcie ograniczeń czasowych i dotyczących odbiorców oraz wielokrotne odtwarzanie asercji.

Logto po cichu nie usuwa sesji SAML inicjowanych przez IdP, co umożliwia odtwarzanie sesji i ponowne użycie w oknie ważności sesji.

W bibliotece swift-crypto przed wersją 4.5.1, podczas inicjalizacji klucza RSA z DER lub PEM, w przypadku błędu następuje podwójne zwolnienie pamięci (double-free). Może to prowadzić do awarii przy przyszłych alokacjach pamięci. Problem występuje, gdy BoringSSL nie może zdekodować klucza.

W swift-nio-ssl metoda NIOSSLCertificate._subjectAlternativeNames udostępnia surowe bajty dla SAN certyfikatu. Zakłada, że bufor jest wspierany przez ASN1_STRING, ale nie wszystkie SAN są wspierane przez ASN1_STRING, co może prowadzić do odczytu poza pamięcią.

DOMPurify przed wersją 3.4.11 nie klonuje listy dozwolonych atrybutów ALLOWED_ATTR podczas używania setConfig() z hookiem uponSanitizeAttribute, co pozwala hookowi na trwałą modyfikację współdzielonej listy. Atakujący mogą zarejestrować hook, który warunkowo zezwala na niebezpieczne atrybuty (np. onerror) dla zaufanych elementów, a następnie przesłać niezaufaną treść, która dziedziczy zanieczyszczoną listę i wykonuje event handlery jako przechowywany XSS.

Bold Reports Standalone Report Designer przed wersją 14.1.12 zawiera lukę braku walidacji ścieżki pliku w funkcji przesyłania plików, umożliwiającą uwierzytelnionym atakującym wyjście poza zamierzony katalog przez podanie spreparowanej nazwy pliku. Atakujący mogą wykorzystać tę słabość do wykonania dowolnych poleceń z wysokimi uprawnieniami na serwerze. Luka dotyczy modułu DataHub wprowadzonego w Bold Reports 6.3.

brace-expansion do wersji 5.0.7 jest podatny na atak DoS przez wyczerpanie pamięci. Funkcja expand() ogranicza liczbę wyników opcją max (domyślnie 100 000), ale nie ogranicza długości każdego łańcucha wynikowego. Łącząc wiele grup nawiasów klamrowych, atakujący utrzymuje liczbę wyników poniżej limitu, jednocześnie sprawiając, że każdy wynik jest coraz dłuższy, co prowadzi do fatalnego błędu braku pamięci. Około 7,5 KB wejścia ('{a,b}'.repeat(1500)) powoduje awarię domyślnego procesu Node.js. Podatność załatana w wersji 5.0.8 przez dodanie opcji maxLength (domyślnie 4 000 000).

W JetBrains PyCharm przed wersją 2026.1.4 oraz 2026.2 możliwe było wykonanie dowolnego kodu poprzez złośliwy plik wykonywalny Pythona przy otwieraniu niezaufanego projektu.

W JetBrains TeamCity przed wersjami 2026.1.2 i 2025.11.6 możliwe było wykonanie kodu poprzez ucieczkę z piaskownicy Kotlin DSL.

Grav API Plugin przed wersją 1.0.10 nie waliduje pola groups w metodzie InvitationsController::create(), co pozwala uwierzytelnionym wywołującym z uprawnieniami api.users.write na przypisywanie zaproszonych kont do grup przyznających uprawnienia api.super. Atakujący mogą tworzyć rekordy zaproszeń z podwyższonym członkostwem w grupach, a po ich zaakceptowaniu nowe konto uzyskuje pełny dostęp API super-admina, mimo że zapraszający nie posiada tych uprawnień.

Grav API Plugin przed wersją 1.0.10 nieprawidłowo waliduje pole slug w endpointcie POST /pages/{route}/move. Metoda PagesController::move() oczyszcza slug tylko za pomocą ltrim($body['slug'], '.'), co usuwa początkowe kropki, ale nie neutralizuje segmentów '/' ani '..'. Uwierzytelniony wywołujący API z uprawnieniami api.pages.write może podać sekwencję path traversal (np. 01.home/../../../pwned), aby przenieść cały katalog strony (treść i multimedia) do dowolnej lokalizacji z możliwością zapisu poza user/pages/, w tym poza instalacją Grav.

Grav API Plugin przed wersją 1.0.10 nie ogranicza dostępu do zapisu do krytycznych dla bezpieczeństwa zakresów konfiguracji wtyczek, co pozwala uwierzytelnionym użytkownikom z uprawnieniami api.config.write na modyfikację ustawień rate limiting i CORS. Atakujący mogą wyłączyć rate limiting w całej witrynie, aby umożliwić ataki brute-force na hasła, oraz zmienić polityki CORS, aby obejmowały kontrolowane przez atakującego źródła z włączonymi poświadczeniami.

Podatność zdalnego wykonania kodu (RCE) w Grav w wersjach od 1.7.0 do 2.0.9. Funkcja FlexDirectory::dynamicDataField() wywołuje call_user_func_array() na danych kontrolowanych przez atakującego, bez ograniczeń na niebezpieczne funkcje, takie jak exec czy system. Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub aktualizacji w dowolnym katalogu Flex może wykonać dowolne polecenia powłoki na serwerze.

Nieuwierzytelniony Cross-Site Request Forgery (CSRF) we wtyczce Popup for CF7 with Sweet Alert w wersjach do 1.6.5.

Wtyczka Kwayy HTML Sitemap w wersjach do 4.0 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) bez wymaganego uwierzytelnienia. Atakujący może nakłonić administratora do wykonania niezamierzonych akcji.

Wtyczka Persian Woocommerce SMS w wersjach do 7.2.2 zawiera podatność na wstrzyknięcie SQL (SQL Injection) z poziomu menedżera sklepu. Atakujący z uprawnieniami shop managera może manipulować zapytaniami do bazy danych.

Wtyczka Visualizer dla WordPressa (wersje do 4.0.1 włącznie) zawiera podatność na blind SQL Injection przez niewłaściwe neutralizowanie specjalnych elementów w zapytaniach SQL.

Wtyczka PeproDev Ultimate Invoice w wersjach do 2.2.6 zawiera podatność na fałszerstwo żądania po stronie serwera (SSRF) bez wymaganego uwierzytelnienia. Atakujący może nakłonić serwer do wysyłania żądań do wewnętrznych zasobów.

Motyw WordPress Manual - Documentation, Knowledge Base & Education w wersjach do 7.5.4 zawiera podatność na skryptowanie międzywitrynowe (XSS) bez wymaganego uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript.

Wtyczka PeproDev Ultimate Invoice w wersjach do 2.2.6 zawiera podatność na skryptowanie międzywitrynowe (XSS) bez wymaganego uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript.