Katalog podatności CVE

vm2 to otwarte źródło vm/sandbox dla Node.js. Przed wersją 3.11.4, poprzez kombinację określonych wywołań, możliwe było uzyskanie konstruktora TypeError hosta, co pozwalało na ucieczkę z sandboxa i uruchamianie dowolnego kodu.

Aplikacje Yarbo na Androida i iOS zawierają wbudowane, twardo zakodowane dane uwierzytelniające do brokera MQTT, które są identyczne dla wszystkich użytkowników i urządzeń. Te dane są osadzone w binarnej wersji aplikacji i mogą być łatwo wydobyte poprzez dekompilację APK.

iRM-IEI Remote Management opracowany przez IEI Integration Corp zawiera podatność na twardo zakodowane dane uwierzytelniające, co pozwala nieautoryzowanym atakującym zdalnie wykorzystać te dane do uzyskania uprawnień administratora w bazie danych.

Błąd logiczny w OAuthRequestFilter odrzuca prawidłowe żądania pochodzące z powiązanego adresu IP, jednocześnie bezwarunkowo przepuszczając żądania z dowolnego innego adresu IP. Włączenie tej funkcji bezpieczeństwa przypadkowo tworzy odwróconą kontrolę bezpieczeństwa.

Klasa JwtAccessTokenValidator w Apache CXF nie weryfikuje roszczeń 'aud' (Audience) w przychodzących tokenach JWT. Umożliwia to ponowne użycie tokenu JWT wydanego dla jednego serwera zasobów przeciwko innemu serwerowi, prowadząc do ataków typu Token Confusion/Routing.

Klasy EndpointReferenceUtils i W3CMultiSchemaFactory w Apache CXF tworzą SAXParserFactory bez niezbędnych zabezpieczeń JAXP, co umożliwia rozwiązywanie zewnętrznych encji poza pasmem (OOB).

W aplikacji PcSuite występuje podatność na nieautoryzowany dostęp. Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do urządzenia ofiary.

Nieprawidłowe kontrole uwierzytelniania w implementacji OAuth umożliwiają przejęcie konta, nawet gdy OAuth nie jest skonfigurowany lub włączony, co prowadzi do nieautoryzowanego dostępu w domyślnych instalacjach.

W urządzeniach działających na UniFi OS występuje podatność na niewłaściwą walidację danych wejściowych, która może być wykorzystana przez złośliwego aktora z niskimi uprawnieniami do wykonania ataku typu Command Injection.

W urządzeniach działających na UniFi OS występuje podatność związana z niewłaściwą walidacją danych wejściowych, która może być wykorzystana przez złośliwego aktora z niskimi uprawnieniami do eskalacji uprawnień.

W UID Enterprise Agent zidentyfikowano podatność na niewłaściwą walidację danych wejściowych, która może być wykorzystana przez złośliwego aktora z dostępem do sieci i niskimi uprawnieniami do wykonania ataku typu Command Injection na urządzeniu gospodarza.

W podatności CVE-2026-47365 w WordPress Toolkit przed wersją 6.11.0, używanym w cPanel i WHM, występuje luka związana z wstrzykiwaniem argumentów. Umożliwia to zdalnym, uwierzytelnionym użytkownikom ominięcie autoryzacji między najemcami i wykonywanie dowolnych poleceń CLI wp-toolkit jako inny użytkownik.

ClipBucket v5 to otwarta platforma do udostępniania wideo, która przed wersją 5.5.3 - #129 była podatna na ślepą injekcję SQL w punkcie końcowym actions/progress_video.php. Nieautoryzowani użytkownicy mogli wykorzystać parametr ids do wykonywania zapytań SQL i wykradania wrażliwych danych.

ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo. W wersjach przed 5.5.3 - #140, funkcja Remote Play pozwalała na dodawanie wideo przez importowanie zewnętrznego URL, co prowadziło do wykonania dowolnych poleceń systemowych z powodu braku odpowiedniego zabezpieczenia URL.

W aplikacji mobilnej Hippoo dla WooCommerce występuje podatność związana z nieprawidłowym przypisaniem uprawnień, co umożliwia eskalację uprawnień.

W podatności CVE-2026-42647 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji Beardev JoomSport.

Podatność typu SQL Injection w wtyczce Product Filter od WBW umożliwia przeprowadzenie ataku Blind SQL Injection. Problem dotyczy wersji od n/a do 3.1.2.

Nieodpowiednia implementacja w trybie Headless w Google Chrome przed wersją 149.0.7827.115 umożliwiła zdalnemu atakującemu, który przejął proces renderowania, potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.

Cloud Foundry UAA błędnie traktował szyfrowanie XML jako substytut podpisów XML w dwóch przepływach SAML, co może prowadzić do akceptacji niepodpisanych asercji zawierających zaszyfrowane treści. Problem występuje, gdy wantAssertionSigned jest ustawione na false.

Hermes WebUI przed wersją 0.51.358 zawiera podatność niewłaściwej kontroli dostępu, która pozwala nieuwierzytelnionym zdalnym atakującym na przejęcie początkowej konfiguracji poprzez wysłanie parametru _set_password do API ustawień bez ograniczeń pochodzenia sieciowego. Atakujący z dowolnej osiągalnej sieci mogą wysłać żądanie POST do punktu końcowego ustawień podczas okna pierwszej konfiguracji, aby utrwalić dowolny skrót hasła, uzyskać ważne ciasteczko sesji i zablokować legalnego operatora przed dostępem do własnej instancji.