Katalog podatności CVE

Seria AP180 z wersjami oprogramowania układowego przed AP_RGOS 11.9(4)B1P8 zawiera podatność na wstrzykiwanie poleceń systemowych. W przypadku wykorzystania tej podatności, na urządzeniach mogą być wykonywane dowolne polecenia.

Wersja 7.0.3 Altium Enterprise Server (AES) na wszystkich platformach zawiera podatność na wstrzykiwanie HTML. Umożliwia to uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez spreparowaną treść HTML.

AES zawiera podatność na wstrzykiwanie SQL spowodowaną nieaktywną konfiguracją, która uniemożliwia zastosowanie najnowszej logiki analizy SQL. Gdy ta konfiguracja nie jest włączona, złośliwe dane wejściowe mogą być niewłaściwie obsługiwane, co pozwala atakującym na wstrzykiwanie i wykonywanie dowolnych zapytań SQL.

Hustoj to otwartoźródłowy system oceny online, który jest podatny na atak CSV Injection (wstrzykiwanie formuł) poprzez funkcjonalność eksportu rankingu konkursu. Aplikacja nie sanitizuje danych wejściowych użytkownika w polu 'Nickname' przed eksportem do pliku .xls, co pozwala na wykonanie formuły Excel przez złośliwego użytkownika.

Backstage jest podatny na ataki typu path traversal przez dowiązania symboliczne w akcjach Scaffolder i ekstrakcji archiwów. Atakujący z dostępem do tworzenia i wykonywania szablonów Scaffolder może odczytać, usunąć lub zapisać pliki poza dozwolonym obszarem roboczym.

Copier to biblioteka i aplikacja CLI do renderowania szablonów projektów. W wersjach przed 9.11.2, Copier sugerował, że generowanie projektu z bezpiecznego szablonu jest bezpieczne, jednakże bezpieczny szablon może obecnie zapisywać w dowolnych katalogach poza ścieżką docelową, wykorzystując dowiązania symboliczne oraz odpowiednią strukturę katalogów.

Podatność w seroval umożliwia nieprawidłowe przetwarzanie danych wejściowych w komponencie deserializacji JSON, co może prowadzić do wykonania dowolnego kodu JavaScript. Dotyczy to wersji 1.4.0 i wcześniejszych, a problem występuje w funkcjach fromJSON i fromCrossJSON w scenariuszu transmisji klient-serwer.

Podatność w seroval umożliwia zanieczyszczenie prototypu podczas deserializacji JSON z powodu niewłaściwej walidacji wejścia. Dotyczy to wersji 1.4.0 i starszych, gdzie złośliwy klucz obiektu może prowadzić do problemów z bezpieczeństwem.

Podatność XSS w Argo Workflows umożliwia wykonanie dowolnego kodu JavaScript w przeglądarce innego użytkownika poprzez listowanie katalogów artefaktów. Problem występuje przed wersjami 3.6.17 i 3.7.8.

CVAT to narzędzie open source do interaktywnej adnotacji wideo i obrazów w dziedzinie wizji komputerowej. W wersjach od 1.0.0 do 2.54.0 użytkownicy z uprawnieniami pracownika mogą swobodnie zmieniać swoje uprawnienia, w tym nadawać sobie status superużytkownika oraz dołączać do grupy administratorów, co daje im pełny dostęp do danych w instancji CVAT.

Laravel Reverb to backend komunikacji WebSocket w czasie rzeczywistym dla aplikacji Laravel. W wersjach 1.6.3 i starszych, Reverb przekazuje dane z kanału Redis bez ograniczeń dotyczących klas, które mogą być zainicjowane, co naraża użytkowników na zdalne wykonanie kodu.

Fleet to oprogramowanie do zarządzania urządzeniami typu open source. W wersjach wcześniejszych niż 4.78.3, 4.77.1, 4.76.2, 4.75.2 i 4.53.3 występuje podatność w procesie rejestracji MDM dla systemu Windows, która pozwala atakującemu na przesyłanie fałszywych tokenów uwierzytelniających, które nie są odpowiednio weryfikowane.

Fleet to oprogramowanie do zarządzania urządzeniami typu open source. W wersjach przed 4.78.3, 4.77.1, 4.76.2, 4.75.2 i 4.53.3 wystąpił problem z kontrolą dostępu, który pozwalał uwierzytelnionym użytkownikom na dostęp do punktów końcowych debugowania i profilowania, niezależnie od ich roli.

Podatność w External Secrets Operator (wersje 0.20.2 do 1.2.0) pozwala na ominięcie mechanizmów bezpieczeństwa dzięki funkcji `getSecretKey`, która umożliwia pobieranie sekretów z innych przestrzeni nazw (namespace) przy użyciu roli wiązania (roleBinding) kontrolera. Funkcja ta została całkowicie usunięta w wersji 1.2.0.

Podatność w vLLM umożliwia wykonanie dowolnego kodu Pythona podczas ładowania modelu, jeśli atakujący ma wpływ na ścieżkę repozytorium modelu. Problem występuje w wersjach od 0.10.1 do 0.13.9, gdzie moduły dynamiczne Hugging Face są ładowane bez weryfikacji trust_remote_code.

5ire to wieloplatformowy asystent AI i klient protokołu MCP. Przed wersją 0.15.3 podatność w pluginie ECharts Markdown pozwalała na wykonanie dowolnego kodu JavaScript w kontekście renderera, co może prowadzić do zdalnego wykonania kodu (RCE) w środowiskach z dostępnymi uprzywilejowanymi API, takimi jak electron.mcp, i pełnego przejęcia systemu. Wersja 0.15.3 naprawia ten problem.

5ire przed wersją 0.15.3 zawiera podatność polegającą na niebezpiecznym renderowaniu HTML, które pozwala na wykonanie niezaufanego HTML (w tym atrybutów zdarzeń on*) w kontekście renderera. Atakujący może wstrzyknąć payload typu <img onerror=...> i wykonać dowolny JavaScript, co umożliwia wywołanie mostkowanych API, takich jak window.bridge.mcpServersManager.createServer, prowadząc do nieautoryzowanego tworzenia serwerów MCP i zdalnego wykonania poleceń. Wersja 0.15.3 naprawia problem.

ManageIQ API przed wersją radjabov-2 zawiera podatność, która pozwala na utworzenie nieprawidłowego obiektu TimeProfile, co powoduje przekroczenie limitu czasu (timeout) w późniejszych żądaniach UI i API, prowadząc do odmowy usługi (DoS).

Claude Code to narzędzie do kodowania, które przed wersją 2.0.65 miało podatność w procesie ładowania projektów. Złośliwe repozytoria mogły wykradać dane, w tym klucze API Anthropic, zanim użytkownicy potwierdzili zaufanie.

EVerest to oprogramowanie do ładowania pojazdów elektrycznych. Przed wersją 2025.10.0, podczas deserializacji wiadomości `DC_ChargeLoopRes`, występowało nieprawidłowe odwołanie do wektora `<DetailedTax>tax_costs`, co prowadziło do dereferencji wskaźnika null i powodowało awarię modułu.