Katalog podatności CVE

W Zammad w wersjach 7.0.2 i 7.1.0 zarządzanie sesjami dla połączeń websocket i long-polling jest podatne na atak typu path traversal. Identyfikatory sesji dostarczane przez klienta są niewystarczająco walidowane przed użyciem do konstruowania wewnętrznych ścieżek plików. Gdy aktywny jest magazyn sesji oparty na plikach (domyślna konfiguracja), uwierzytelniony atakujący może manipulować identyfikatorem sesji, aby odnosił się do lokalizacji poza zamierzonym katalogiem, prowadząc do usunięcia dowolnych plików i katalogów na serwerze. Wymaga to tylko sesji uwierzytelnionej o niskich uprawnieniach i jednego spreparowanego żądania. Instancje skonfigurowane z magazynem sesji opartym na Redis nie są dotknięte. Problem naprawiono w wersjach 7.0.3 i 7.1.1.

W Zammad przed wersjami 7.0.2 i 7.1.0 występuje brak walidacji w kaskadzie autoryzacji. W określonych warunkach ograniczenia klucza dostępu są nadpisywane przez ukryte uprawnienia konta nadrzędnego, co niweluje separację obszarów funkcjonalnych i prowadzi do niekontrolowanej ekspansji uprawnień administracyjnych. Atakujący może tworzyć nowe konta administratorów pomimo ograniczeń tokenów, uzyskując pełny dostęp do wszystkich danych systemu (zgłoszenia, klienci, konfiguracja) i całkowitą kontrolę nad instancją Zammad. Problem naprawiono w wersjach 7.0.2 i 7.1.0.

W Zammad przed wersją 7.0.1 uwierzytelniony użytkownik o niskich uprawnieniach może wstrzyknąć dowolny kod HTML, w tym procedury obsługi zdarzeń JavaScript, do tytułu zgłoszenia podczas standardowego procesu tworzenia zgłoszenia. Tytuł jest zapisywany bez sanityzacji. Problem naprawiono w wersji 7.0.1.

W Zammad przed wersją 7.0.2 w przychodzącym przetwarzaniu e-maili PGP wartość zwracana przez weryfikację gpg była po cichu ignorowana. Niezależnie od tego, czy gpg zgłosił poprawny, niepoprawny czy brakujący podpis, procedura bezwarunkowo zapisywała sign: { success: true, comment: "Good signature" } w preferencjach bezpieczeństwa artykułu. Każdy nadawca mógł manipulować treścią podpisanego e-maila PGP lub stworzyć wiadomość z całkowicie sfałszowanym lub niepasującym podpisem, a Zammad wyświetlał ją jako kryptograficznie zweryfikowaną z etykietą "Good signature". Użytkownicy i agenci polegający na wskaźniku podpisu w celu potwierdzenia autentyczności i integralności wiadomości mogli zostać wprowadzeni w błąd, ufając zmodyfikowanym lub sfałszowanym treściom. Podatność dotyczy wszystkich przychodzących e-maili podpisanych PGP przetwarzanych przy włączonej integracji PGP. Problem naprawiono w wersji 7.0.2.

W Zammad przed wersją 7.0.2 nieuwierzytelnione żądanie do POST /api/v1/import/otrs/import_check blokuje pracownika żądań Zammad na około dwie minuty. Akcje import_check i import_status nie mają zabezpieczenia setup_done_response, które mają inne akcje w tym samym kontrolerze, więc wykonują się na w pełni skonfigurowanych instancjach produkcyjnych. Akcja wchodzi w pętlę ponowień wobec pustego punktu końcowego OTRS, śpiąc 30 s + 45 s między próbami. Nieuwierzytelniony zdalny atakujący może odmówić usługi produkcyjnej instancji Zammad. Każde żądanie kosztuje prawie nic i wymusza ~115 sekund blokowania po stronie serwera. Kilka żądań na sekundę nasyca pulę pracowników Puma. Problem naprawiono w wersji 7.0.2.

Podatność w StarTraining do wersji 3.8.1, w funkcji anonimowej pliku /druid/index.html komponentu Druid Console. Brak uwierzytelnienia umożliwia zdalny atak. Exploit jest publicznie dostępny.

Podatność w StarTraining do wersji 3.8.1 w funkcji UserLoginService.createToken pliku application.yml komponentu JWT Token Handler. Manipulacja argumentami user_id/company_id powoduje użycie zaszytego hasła. Atak zdalny, exploit publiczny.

Podatność w Zhonglun CloudPos do wersji 3.0.1.76 w funkcji OpenLocalBrowser pliku ZlPos/ZlPos/Bizlogic/JSBridge.cs komponentu JSBridge. Manipulacja argumentem url prowadzi do wstrzyknięcia kodu. Atak zdalny, exploit publiczny.

Podatność w golang.org/x/playground pozwala złośliwemu plikowi txtar na ucieczkę z zamierzonego kontekstu wykonania i wymuszenie zapisu do zaufanego systemu plików hosta playground. Dodatkowo, jedna ze ścieżek wywołania 'go vet' nie ograniczała poprawnie środowiska wykonania, co umożliwiało odczyt pliku konfiguracyjnego środowiska z katalogu domowego hosta. Połączenie tych problemów może prowadzić do zdalnego wykonania kodu na hoście playground.

Podatność w NetworkManager-iodine, pluginie VPN iodine dla NetworkManagera. Nieuprzywilejowany użytkownik lokalny może wykorzystać sposób przetwarzania ustawienia 'nameserver' podczas nawiązywania połączenia VPN iodine. Osadzenie znaków specjalnych powłoki w wartości 'nameserver' pozwala na wstrzyknięcie i wykonanie dowolnych poleceń z uprawnieniami root przed obniżeniem uprawnień.

Podatność w BerriAI LiteLLM przed wersją 1.101.0-rc.1, polegająca na obejściu izolacji dzierżawców w warstwie pamięci podręcznej semantycznej. Uwierzytelniony użytkownik może odczytać odpowiedzi z pamięci podręcznej innych dzierżawców, wykorzystując niezgodność kluczy metadanych między funkcjami _get_semantic_cache_tenant_scope() i _get_metadata_variable_name(). Atakujący z ważnym kluczem wirtualnym może wysyłać podobne semantycznie zapytania, aby uzyskać dane osobowe, finansowe lub kod źródłowy innych dzierżawców oraz spowodować automatyczne wykonanie połączeń narzędziowych pod cudzymi danymi uwierzytelniającymi.

Federation upstream w RabbitMQ pomija autoryzację vhost, umożliwiając dostęp do wiadomości między vhostami. Policy maker na jednym vhost może czytać i usuwać wiadomości z innego vhosta, do którego nie ma uprawnień, a przy domyślnym trybie ack wiadomości źródłowe są konsumowane, a nie kopiowane.

Natywny MQTT i MQTT over WebSocket za zaufanym frontendem PROXY Protocol w RabbitMQ mogą utracić adres klienta pochodzący z proxy przed sprawdzeniem loopback_users, przez co adres frontend-broker jest traktowany jako loopback. Atakujący z ważnymi poświadczeniami dla konta ograniczonego do loopback może obejść ograniczenie adresu źródłowego.

Podatność w RabbitMQ od wersji 4.2.0 do 4.3.3 oraz w wersji 4.2.9, polegająca na ujawnieniu sekretu klienta OAuth2 przez nieuwierzytelniony punkt końcowy JavaScript. Gdy uwierzytelnianie OAuth2 jest włączone dla interfejsu zarządzania RabbitMQ z użyciem sekretu klienta, wartość oauthclientsecret jest zawarta w JavaScripcie serwowanym przez nieuwierzytelniony punkt /js/oidc-oauth/bootstrap.js. Każdy użytkownik, który ma dostęp do portu interfejsu zarządzania, może pobrać sekret klienta OAuth2.

Niekompletna poprawka CVE-2026-44838 w RabbitMQ: funkcja escaperegexchar/1 nie escapuje znaku -, co umożliwia obejście uprawnień do tematów MQTT. Gdy szablon uprawnień umieszcza {clientid} wewnątrz klasy znaków [...], nisko uprzywilejowany użytkownik MQTT może rozszerzyć autoryzację tematów.

Handler WebSocket Web STOMP w RabbitMQ nie wymusza max_frame_size ani login_timeout przed uwierzytelnieniem, co pozwala nieuwierzytelnionemu klientowi utrzymać połączenie wolnym strumieniem małych ramek i gromadzić nieograniczony stan przed uwierzytelnieniem. Wymagane jest włączenie wtyczki rabbitmq_web_stomp.

W RabbitMQ w wersjach od 3.13.0 do 3.13.15, 4.0.20, 4.1.11 i 4.2.6 protokół strumieniowy przechowuje wartość FrameMax wynegocjowaną podczas uzgadniania Tune, ale nie porównuje jej z deklarowaną długością przychodzącej ramki przed buforowaniem. Zdalny klient może spowodować nadmierne zużycie pamięci i odmowę usługi, deklarując zbyt dużą ramkę.

W RabbitMQ w liniach 3.13, 4.0, 4.1, 4.2 i 4.3 funkcja fill/2 podstawia ${username} do user_dn_pattern bez escapowania RFC 4514 DN, co pozwala na modyfikację powiązanego DN LDAP przez spreparowaną nazwę użytkownika. Wykorzystanie wymaga włączonego backendu rabbitmq_auth_backend_ldap z wzorcem zawierającym ${username}, odpowiedniego układu katalogu i ważnego hasła. Wersje poprawione są sprzeczne w różnych źródłach.

W Zammad przed wersją 7.0.2 występuje problem z kontrolą uprawnień w obszarze zarządzania bazą wiedzy. W pewnych warunkach walidacja danych dla powiązanych elementów nie była w pełni egzekwowana, co mogło pozwolić użytkownikom z ograniczonymi uprawnieniami odczytu na interakcję z elementami poza ich zakresem dostępu.

W Zammad przed wersją 7.0.2 klient mogący wyświetlić zgłoszenie nie widzi wewnętrznych artykułów przez API listy artykułów, ale może bezpośrednio pobrać załącznik należący do wewnętrznego artykułu przez endpoint pobierania załączników. Endpoint ten sprawdza tylko nadrzędne zgłoszenie, a nie artykuł, co omija autoryzację na poziomie artykułu.