Katalog podatności CVE

Leantime zawiera podatność CSRF w logowaniu OIDC w metodzie verifyState(), która zawsze zwraca true bez walidacji parametrów stanu. Atakujący może skonstruować złośliwy URL callback z własnym kodem autoryzacyjnym, aby przeprowadzić fiksację sesji i zalogować ofiarę jako atakujący.

Podatność w metodzie Users::getUser API JSON-RPC w Leantime umożliwia uwierzytelnionym użytkownikom pobieranie pełnych rekordów użytkowników, w tym skrótów haseł, sekretów TOTP i tokenów sesji. Brak odpowiednich kontroli autoryzacji pozwala na wyliczenie wszystkich kont i uzyskanie danych uwierzytelniających.

Biblioteka showdown zawiera podatność na atak XSS w obsłudze tytułów metadanych. Gdy opcja completeHTMLDocument jest włączona, nieskapowane znaki < i > w metadanych frontmatter są wstawiane bezpośrednio do znaczników HTML title, co umożliwia atakującym wstrzyknięcie dowolnego kodu HTML i JavaScript.

Crawl4AI przed wersją 0.9.0 zawiera podatność SSRF w ścieżce strumieniowej API Dockera. Niezautoryzowany zdalny klient może wysłać żądanie POST do /crawl/stream lub /crawl z parametrem stream=true, wskazując URL na adres wewnętrzny, prywatny lub link-local, a serwer pobierze i przekaże odpowiedź.

Crawl4AI przed wersją 0.9.0 zawiera podatność w API Dockera, która pozwala na wstrzyknięcie argumentów do przeglądarki Chromium. Atakujący może wykorzystać przełączniki Chromium do podmiany polecenia uruchomienia procesu potomnego, co prowadzi do wykonania dowolnego kodu w kontenerze.

W bibliotece Crawl4AI przed wersją 0.9.0 wykryto podatność na zapis dowolnego pliku. Atakujący może wpłynąć na nazwę pliku docelowego poprzez nagłówek Content-Disposition lub sugerowaną nazwę pliku, co umożliwia zapis pliku poza katalogiem docelowym. Może to prowadzić do zdalnego wykonania kodu.

Podatność w mechanizmie uwierzytelniania żądań strumieni wideo w Genetec Security Center 5.14.0.0 przed build 5.14.178.18 może umożliwić nieuwierzytelnionemu atakującemu dostęp do strumieni wideo na żywo.

Podatność w silniku wnioskowania vLLM przed wersją 0.24.0 pozwala atakującemu na wykonanie ataku DoS poprzez przesłanie złośliwego wyrażenia regularnego do parametru structured_outputs.regex. Wyrażenie to, pozbawione limitu czasu kompilacji i analizy złożoności, powoduje eksplozję stanów w kompilatorze gramatyki, co prowadzi do zawieszenia procesu wnioskowania.

Podatność w bibliotece vLLM od wersji 0.12.0 do 0.24.0 pozwala zdalnemu, autoryzowanemu użytkownikowi na wysłanie żądania /v1/completions z modelem używającym M-RoPE, co powoduje błąd asercji w EngineCore i awarię całego serwera.

Traefik w wersjach od 3.7.0 do 3.7.5 ma podatność w dostawcy Kubernetes Gateway API, gdzie dwa zaakceptowane HTTPRoute wskazujące na ten sam backend Service:port, ale z różnymi filtrami backendRef, mogą powodować zastosowanie tylko jednego zestawu filtrów do wszystkich żądań kierowanych do tego backendu. W rezultacie atakujący może narzucić swój kontekst filtru na żądania innej trasy, potencjalnie przekraczając granice przestrzeni nazw.

W Traefik przed wersjami v2.11.51, v3.6.22 i v3.7.6, middleware ForwardAuth, nawet przy ustawieniu trustForwardHeader: false, przekazuje nagłówek X-Forwarded-Port z oryginalnego żądania zamiast z przefiltrowanego. Nieuwierzytelniony atakujący może wstrzyknąć nagłówek X-Forwarded-Proto: https przez zwykłe połączenie HTTP, co powoduje przekazanie X-Forwarded-Port: 443 do serwisu uwierzytelniającego i ominięcie kontroli dostępu opartej na porcie.

W Traefik przed wersjami v2.11.51, v3.6.22 i v3.7.6, mechanizmy uwierzytelniania BasicAuth, DigestAuth i ForwardAuth nie usuwają nagłówków tożsamości z podkreślnikami, które backendy normalizują do postaci z myślnikami. Atakujący może wstrzyknąć taki nagłówek, aby podszyć się pod tożsamość lub ominąć autoryzację.

To zgłoszenie CVE zostało odrzucone, ponieważ jest duplikatem CVE-2026-54637. Nie należy go używać.

W silniku vLLM przed wersją 0.24.0 wykryto podatność polegającą na tym, że specjalnie spreparowane żądanie spekulatywnego dekodowania może spowodować wygenerowanie tokena spoza słownika modelu. Prowadzi to do awarii procesu roboczego (worker) z powodu asercji na GPU, co skutkuje przerwaniem wszystkich współbieżnych żądań.

W Hugo od wersji 0.123.0 do 0.161.1 wystąpiła regresja, w wyniku której funkcja RootMappingFs.statRoot używała Stat (podąża za dowiązaniami symbolicznymi) zamiast Lstat. Umożliwiło to odczyt plików spoza zamontowanego katalogu poprzez dowiązanie symboliczne umieszczone w lokalnym punkcie montowania, np. w motywie themes/.

Wersje DNG SDK 1.7.1 2536 i wcześniejsze zawierają podatność na wyłuskanie wskaźnika NULL, co może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę lukę do spowodowania awarii aplikacji poprzez otwarcie złośliwego pliku przez ofiarę.

FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność umożliwiającą ominięcie płatności bez uwierzytelnienia. Atakujący może oznaczyć dowolną niezapłaconą fakturę jako opłaconą i zasilić konto klienta, wysyłając jeden spreparowany request HTTP do endpointu IPN.

W FOSSBilling przed wersją 0.8.0 brakuje autoryzacji w endpointcie Guest API invoice/update, co pozwala nieuwierzytelnionemu użytkownikowi ze znajomością hasha faktury na zmianę bramki płatności dla niezapłaconej faktury. Atakujący może wykorzystać wyciek hasha (np. przez udostępnione URL-e, nagłówki referrer lub linki e-mail) i zmienić `gateway_id` na dowolną skonfigurowaną w systemie bramkę.

Coolify przed wersją 4.0.0-beta.469 zawiera podatność na zdalne wstrzykiwanie poleceń w procesie wdrażania aplikacji. Uwierzytelniony użytkownik z uprawnieniami do zapisu aplikacji może wykorzystać pola takie jak dockerfile_location i polecenia wdrożeniowe do zdalnego wykonania kodu i wycieku wrażliwych zmiennych środowiskowych przez logi wdrożeń.

FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność na wstrzykiwanie SQL w module Massmailer. Uwierzytelniony administrator może dostarczyć spreparowane wartości filtrów podczas aktualizacji wiadomości e-mail, co prowadzi do bezpośredniego wstawienia niezaufanego wejścia do zapytania SQL.