Katalog podatności CVE

Wtyczka AMP for WP – Accelerated Mobile Pages dla WordPressa (wersje do 1.1.16 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez treść komentarza w transformacji regex z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Niezalogowany atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Złośliwy ładunek wykorzystuje tylko dozwolone tagi i atrybuty komentarzy WordPressa (anchor z href i title), a pipeline sanityzacji AMP nie blokuje protokołu javascript:, więc ani filtr zapisu komentarzy, ani etap wyjściowy AMP nie usuwają złośliwego URI wprowadzonego przez transformację.

Wtyczka Elementor Website Builder jest podatna na atak Cross-Site Request Forgery (CSRF). Podatność dotyczy wersji od n/a do 4.3.1 włącznie.

W phpIPAM do wersji 1.8.3 występuje nieprawidłowa autoryzacja dla wartości id równej "admins" oraz "all" w pliku api/controllers/User.php. Błąd pozwala na dostęp do funkcji, które powinny być ograniczone do uprawnionych użytkowników.

W Wakapi przed wersją 2.17.6 usługa buforowania użytkowników pozwala na rozwiązanie wyszukiwania w nieoczekiwanym kontekście, co prowadzi do przejęcia konta. Luka umożliwia atakującemu uzyskanie kontroli nad kontem innego użytkownika.

W ITFlow przed wersją 26.08 parser wiadomości e-mail zgłoszeń (cron/ticket_email_parser.php) zezwala na załączniki SVG w wiadomościach, które mogą przychodzić przez SMTP od dowolnych nadawców. Może to umożliwić przetwarzanie niebezpiecznych plików SVG.

MinIO do wersji 7aac2a2 nie weryfikuje, czy każdy nagłówek x-amz-* obecny w żądaniu znajduje się również na liście X-Amz-SignedHeaders dostarczonej przez klienta. Funkcja extractSignedHeaders() w cmd/signature-v4-utils.go iteruje tylko po zadeklarowanej liście i nie wylicza nagłówków, które faktycznie dotarły, przez co niepodpisany nagłówek nie jest ani hashowany, ani odrzucany. Ponieważ cmd/api-router.go kieruje CopyObject wyłącznie na podstawie obecności x-amz-copy-source, posiadacz presigned PUT URL ograniczonego do jednego obiektu może dodać ten nagłówek do niezmienionego URL i spowodować kopię po stronie serwera, wykonaną jako podpisujący, dowolnego obiektu, który klucz podpisujący może odczytać. Uprawnienie do zapisu jednego obiektu staje się odczytem każdego zasobu, do którego ten klucz ma dostęp. Amazon S3 odrzuca równoważne żądanie z HTTP 403 AccessDenied. Repozytorium minio/minio na GitHub zostało zarchiwizowane w kwietniu 2026; pgsty/silo przed 1233254 jest również dotknięty.

W Netgate pfSense Plus przed wersją 26.07 oraz pfSense CE przed 2.9.0 występuje luka Local File Inclusion (LFI) w obsłudze danych sekwencji widgetów na pulpicie (index.php). Uwierzytelniony atakujący z uprawnieniami do modyfikacji ustawień pulpitu i zapisu dowolnych plików w systemie pfSense (np. /tmp/test.widget.php) może przesłać spreparowaną wartość sekwencji widgetu zawierającą path traversal (np. ../../../../../../../../../../../tmp/test), co powoduje odczyt i wykonanie dowolnego pliku PHP jako standardowego widgetu.

W systemie ningzichun student-management-system do wersji 98760f5711cf6dc8b4adca53a9e207ca49b02ebf wykryto słabość w nieznanej funkcji pliku admin/fun/getStudent.php. Manipulacja argumentem sid powoduje obejście autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach; projekt został poinformowany o problemie, ale nie odpowiedział.

Root Browser Classic 3.3.0 przekazuje ścieżkę wybranej bazy danych SQLite do powłoki systemu operacyjnego bez bezpiecznego oddzielenia nazwy pliku od polecenia. Może to prowadzić do wstrzyknięcia poleceń powłoki.

Nieograniczone zużycie zasobów (CWE-400 / CWE-1333) w predykatach wyszukiwania regex oraz endpointach filtrów REST w Gerrit Code Review w wersjach 2.1.6–3.12.9, 3.13.0–3.13.8 i 3.14.0–3.14.2 pozwala nieuwierzytelnionemu zdalnemu atakującemu (lub uwierzytelnionemu użytkownikowi, jeśli anonimowy odczyt jest wyłączony) na wywołanie odmowy usługi poprzez wyczerpanie CPU i sterty JVM (OutOfMemoryError). Podatność wynika z kompilacji wyrażeń regularnych do nieograniczonej instancji dk.brics.automaton na wątku żądania przed oceną indeksu lub filtrowaniem widoczności. Problem naprawiono w wersjach 3.12.10, 3.13.9 i 3.14.3.

Nieograniczone zużycie zasobów (CWE-400 / CWE-407) w parserze zapytań ANTLR 3 (QueryParser / Query.g) w Gerrit Code Review w wersjach 2.0.19–3.12.9, 3.13.0–3.13.8 i 3.14.0–3.14.2 pozwala nieuwierzytelnionemu zdalnemu atakującemu (lub uwierzytelnionemu użytkownikowi, jeśli anonimowy odczyt jest wyłączony) na wywołanie trwałej odmowy usługi poprzez wyczerpanie CPU i zagłodzenie puli wątków HTTP, wymagające restartu serwera. Podatność wynika z rekurencji predykatów składniowych bez memoizacji przed sprawdzeniem uprawnień oraz braku przerywania wątków po rozłączeniu klienta. Problem naprawiono w wersjach 3.12.10, 3.13.9 i 3.14.3.

Nieprawidłowa autoryzacja (CWE-863) w normalizacji nazw projektów (ProjectUtil.stripGitSuffix) i logice eksmisji ProjectCache (ProjectCacheImpl) w Gerrit Code Review w wersjach 2.16.0–3.12.9, 3.13.0–3.13.8 i 3.14.0–3.14.2 pozwala uwierzytelnionemu użytkownikowi (lub nieuwierzytelnionemu, jeśli repozytorium było wcześniej publiczne) na nieautoryzowane ujawnienie zawartości prywatnego repozytorium oraz trwałe przywrócenie odebranych uprawnień administratora projektu. Podatność wynika z usuwania tylko jednego końcowego sufiksu .git przy konstruowaniu klucza ProjectCache, podczas gdy JGit rozwiązuje alias do tego samego repozytorium na dysku. Problem naprawiono w wersjach 3.12.10, 3.13.9 i 3.14.3.

Podatność w bibliotece Catalyst::Seal w wersjach przed 0.03 dla Perla pozwala na unieważnienie ścieżki lub ominięcie kontroli autoryzacji poprzez mechanizm memoizacji oparty wyłącznie na ścieżce żądania. Klucz pamięci podręcznej nie uwzględnia metody HTTP, typu zawartości, schematu ani zapytania, przez co wynik rozstrzygnięcia ścieżki jest przypisywany do żądań, dla których nie został wyliczony. W efekcie żądanie GET na ścieżce z akcją tylko dla POST może trwale zablokować tę ścieżkę lub spowodować skierowanie późniejszego POST do płytszej, mniej uprzywilejowanej akcji z pominięciem kontroli autoryzacji.

Espruino 2v29 (commit bffc6d0) zawiera podatność przepełnienia bufora na stosie w ścieżce obsługi śladu stosu błędów JavaScript w kompilacjach 64-bitowych. Zdalny atakujący może dostarczyć kod JavaScript wywołujący wyjątek, który trafia do jslPrintTokenLineMarker(), przekazując adres 4-bajtowej zmiennej int jako wskaźnik size_t. Funkcja jsvGetLineAndCol() wykonuje 8-bajtowy zapis, nadpisując sąsiednią pamięć stosu.

Firmware kamery samochodowej Botslab G980H nie weryfikuje odpowiednio autentyczności aktualizacji firmware. Proces aktualizacji pobiera firmware przez niezabezpieczone połączenie i opiera się na wartości integralności dostarczonej wraz z firmware zamiast zaufanego podpisu kryptograficznego. Odpowiednio umiejscowiony atakujący przechwytujący pobieranie firmware lub uwierzytelniony atakujący wysyłający spreparowaną aktualizację może zainstalować zmodyfikowany firmware i wykonać nieautoryzowany kod na urządzeniu.

Niekompletna sanityzacja logów podczas zbiorczego zbierania polityk IPsec w Brocade SANnav w wersjach przed 3.0.1a pozwala na zapisanie kluczy pre-shared extension switch do logów systemowych. Osoby z dostępem do odczytu logów kontenerów lub archiwów wsparcia mogą uzyskać te klucze, co prowadzi do potencjalnego przejęcia szyfrowanych tuneli sieciowych.

W projekcie songxinjianqwe Chat do wersji ac63d25297079eed5e4ba7e88d3b7a032637150d zidentyfikowano słabość w nieznanej funkcjonalności pliku chat-server/src/main/java/cn/sinjinsong/chat/server/ChatServer.java w komponencie chat-server. Manipulacja ta powoduje podatność server-side request forgery (SSRF). Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony. Produkt korzysta z modelu rolling release, więc konkretne informacje o wersjach nie są dostępne; dostawca nie odpowiedział na zgłoszenie.

W projekcie ruoyi-vue-pro (YunaiV/zhijiantianya) do wersji 2026.08 wykryto podatność w funkcji updateDemoOrderPaid w kontrolerze PayDemoOrderController. Manipulacja argumentem ID prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

pgcollection to otwarte rozszerzenie do PostgreSQL. W wersjach od 2.0.0 do 2.1.1 występuje błąd typu (type confusion), który może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na wykonanie dowolnego kodu jako użytkownik systemu postgres poprzez spreparowane zapytania SQL wykorzystujące niezgodne metadane typów w funkcjach pobierania wartości kolekcji i konwersji tablic.

Taskview Community przed wersją 1.56.0 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym rejestrować dowolne klienty OAuth i przejmować konta użytkowników poprzez endpoint Dynamic Client Registration OAuth 2.0, domyślnie włączony i niewymagający uwierzytelnienia. Atakujący może wysłać żądanie POST, uzyskać client_id i client_secret, a następnie stworzyć złośliwy link autoryzacyjny wskazujący na kontrolowany redirect URI, aby przechwycić kody autoryzacyjne i wymienić je na tokeny dostępu.