Katalog podatności CVE

Cohere Python SDK w wersjach 5.11.0 do 7.2.0 zawiera podatność path traversal (tar slip) w funkcji _s3_models_dir_to_tarfile, która pozwala na zapis dowolnych plików poprzez niezwalidowane wywołania tarfile.extractall. Atakujący, którzy mogą zapisać archiwa modeli do prefiksu S3 ofiary, mogą umieścić ścieżki absolutne lub elementy ../, aby nadpisać pliki na hoście SDK.

OpenLIT w wersji 2.1.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom na odczyt telemetrii innych projektów poprzez dostarczenie sfałszowanego nagłówka x-openlit-project-id. Atakujący, którzy znają identyfikator projektu ofiary i identyfikator konfiguracji bazy danych, mogą odpytać API odczytu śladów, aby uzyskać ślady zawierające prompty i uzupełnienia LLM.

Phi w wersjach 0.3.0 do 0.28.4 zawiera podatność obejścia uprawnień, która pozwala tworzonym podagentom na ucieczkę z trybu workspace_only_writes i readonly poprzez dostarczenie niesprawdzonego katalogu roboczego do agent_spawn. Atakujący mogą umieścić instrukcje wstrzyknięte przez prompt w przetwarzanej treści, aby agent utworzył proces roboczy zakorzeniony w innym miejscu, powodując niezatwierdzone zapisy plików w dowolnym miejscu, w którym użytkownik ma prawo zapisu.

9router w wersjach 0.4.1 do 0.5.99 zawiera podatność wstrzyknięcia konfiguracji w punkcie końcowym POST /api/cli-tools/hermes-settings, która pozwala uwierzytelnionym użytkownikom panelu na wstrzyknięcie dowolnych kluczy do pliku konfiguracyjnego Hermes Agent config.yaml. Atakujący mogą przesłać baseUrl zawierający podwójne cudzysłowy i znaki nowej linii, aby dodać hooks_auto_accept oraz polecenie powłoki hooks.post_llm_call, które Hermes Agent wykonuje bez zatwierdzenia po wywołaniu LLM.

mini-swe-agent w wersjach 1.10.0 do 2.4.6 zawiera podatność ujawnienia informacji w BubblewrapEnvironment, ponieważ bwrap pomija --clearenv, więc polecenia w sandboxie dziedziczą środowisko hosta. Atakujący wykorzystujący wstrzyknięcie promptu w przetwarzanej treści zadania mogą zmusić agenta do odczytania kluczy API ze środowiska i eksfiltracji ich przez współdzieloną sieć.

InnoShop w wersji 0.9.2 zawiera podatność lokalnego ujawnienia plików, która pozwala uwierzytelnionym administratorom z uprawnieniem files_create na odczyt plików serwera poprzez nadużycie argumentu source narzędzia file_upload w AI Core MCP. Atakujący mogą dostarczyć wrappery strumieni file:// lub php:// przekazywane do file_get_contents(), przechowując zawartość na publicznym dysku mediów, aby ujawnić plik .env z APP_KEY i poświadczeniami bazy danych.

1MCP Agent (@1mcp/agent) w wersjach 0.20.0 do 0.39.0 zawiera podatność nieprawidłowej autoryzacji, która umożliwia uwierzytelnionym klientom obejście egzekwowania zakresów tagów OAuth przy użyciu zanegowanych wyrażeń filtrów tagów. Atakujący posiadający token z jednym tagiem mogą wysłać filtr typu not <granted-tag>, aby wyświetlić listę i wywołać narzędzia na backendowych serwerach MCP poza przyznanymi zakresami.

argocd-mcp (Argo CD MCP Server) do wersji 0.9.0 zawiera podatność na traversal ścieżek w narzędziu delete_application, która pozwala klientom MCP na dostęp do nieprzeznaczonych punktów API poprzez niezweryfikowane wartości applicationName. Atakujący lub modele ze wstrzykniętą instrukcją mogą podać wartości z segmentami typu ../repositories/, aby wysyłać uwierzytelnione żądania DELETE, usuwając repozytoria, klastry lub projekty w ramach uprawnień RBAC tokena.

Podatność braku autoryzacji w VillaTheme GIFT4U (gift4u-gift-cards-all-in-one-for-woo) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.1.3.

zotero-mcp w wersjach od 0.10.0 do 0.14.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), ponieważ funkcja _fetch_embedded_metadata pobiera URL-e bez walidacji docelowego adresu. Atakujący mogą sterować agentem przez wstrzyknięcie instrukcji, aby wywołać zotero_add_by_url, co powoduje żądania do hostów loopback, prywatnych lub link-local, bezpośrednio lub przez przekierowania, ujawniając metadane cytowań i szczegóły błędów.

GenOffice do wersji 0.11.505 zawiera podatność nieprawidłowych uprawnień w magazynie plików serwera HTTP MCP, która pozwala lokalnym nieuprzywilejowanym użytkownikom na odczyt przesłanych i wygenerowanych dokumentów. Atakujący mogą przeglądać światłoczyty katalog genoffice-mcp-http w systemowym katalogu tymczasowym, aby odczytać przesłane pliki i przekonwertowane wyniki, omijając token bearer HTTP.

TencentCloud Octop do wersji 1.0.2b6 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na odczyt zapisanych kluczy API dostawców przez GET /api/providers i GET /api/voice/providers. Atakujący mogą wysyłać zapytania do tych punktów, które tylko walidują JWT, aby uzyskać klucze API LLM i dostawców głosowych w postaci jawnego tekstu i nadużywać kont dostawców.

AniWorld Downloader przed wersją 5.3.0 zawiera podatność nieprawidłowego ograniczenia prób uwierzytelniania w obsłudze POST /login w WebUI, która pozwala nieuwierzytelnionym atakującym na zgadywanie haseł bez ograniczania tempa. Atakujący mogą enumerować nazwy użytkowników przez czas odpowiedzi verify_user i przeprowadzać ataki brute-force na hasła w wystawionych instancjach WebUI, aby przejąć konta.

OpenPanel do wersji 2.3.0 zawiera podatność na wstrzyknięcie formuł CSV, która pozwala nieuwierzytelnionym atakującym na osadzenie formuł arkusza kalkulacyjnego poprzez podanie spreparowanych identyfikatorów profili do punktu /track. Atakujący mogą wysyłać zdarzenia śledzenia z identyfikatorami profili, takimi jak =HYPERLINK(...), pasującymi do kohorty, więc eksportowane pliki CSV kohorty wykonują formuły, które eksfiltrują dane z sąsiednich komórek.

PairDrop do wersji 1.11.2 zawiera podatność na fałszowanie adresu IP w funkcji Peer._setIP, która pozwala zdalnym atakującym na dołączenie do pokoi odkrywania innych sieci poprzez podanie sfałszowanego nagłówka cf-connecting-ip. Atakujący, którzy znają publiczny adres IP ofiary, mogą pojawić się jako lokalne urządzenie w samodzielnie hostowanych instancjach nieza Cloudflare, aby wysyłać lub odbierać pliki.

PDFMathTranslate (pdf2zh) do wersji 1.9.11 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala nieuwierzytelnionym atakującym na zmuszenie serwera do pobierania dowolnych URL-i przez pole Link. Handler translate_file przekazuje URL-e użytkownika do download_with_limit bez walidacji schematu lub adresu, co pozwala atakującym na dostęp do wewnętrznych usług i punktów metadanych chmury oraz odzyskiwanie zwróconych plików PDF.

AstronRPA do wersji 1.1.6 zawiera podatność braku sprawdzenia autoryzacji dzierżawy w robot-service, która pozwala uwierzytelnionym użytkownikom na odczyt zmiennych współdzielonych innych dzierżawców przez punkt get-batch-shared-var. Atakujący mogą enumerować sekwencyjne identyfikatory zmiennych współdzielonych i odszyfrować zmienne wszystkich użytkowników, ponownie szyfrując je własnym kluczem dzierżawy, aby odzyskać poświadczenia innych dzierżawców w postaci jawnego tekstu.

SillyTavern w wersjach od 1.12.13 do 1.19.0 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym na wyczerpanie zasobów, ponieważ middleware body-parser działa przed uwierzytelnieniem i sprawdzeniem listy dozwolonych adresów. Atakujący mogą wysyłać duże lub skompresowane ciała JSON lub urlencoded o rozmiarze do 500 MB, opcjonalnie równolegle, aby wyczerpać pamięć i CPU oraz uniemożliwić działanie usługi.

Kortix Suna w wersjach od 0.10.7 do 0.13.52 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala menedżerom projektów ominąć zabezpieczenie isPrivateIp poprzez podanie adresów IPv6 6to4 lub Teredo, które osadzają prywatne cele IPv4. Atakujący posiadający uprawnienia project.connector.write mogą ustawić base_url konektora, adresy URL OpenAPI, Postman lub MCP, aby dotrzeć do wewnętrznych usług i punktów końcowych metadanych chmury oraz odczytać odpowiedzi.

Strapi w wersjach od 5.47.0 do 5.57.0 zawiera podatność na nieprawidłową autoryzację, która pozwala tokenom API administratora zachować pełny dostęp do Menedżera Treści po ograniczeniu pól roli właściciela. Ponieważ funkcja reconcileTokenPermissionsToUserCeiling ignoruje uprawnienia tokenów z pominiętymi lub pustymi polami, posiadacze tokenów mogą nadal czytać pola treści, które administrator usunął z roli.