Katalog podatności CVE

OnboardLite to kompleksowa platforma zarządzania cyklem życia członkostwa, stworzona dla organizacji studenckich na Uniwersytecie Centralnej Florydy. Wersje oprogramowania przed poprawką 1d32081a66f21bcf41df1ecb672490b13f6e429f mają podatność na przechowywane ataki typu cross-site scripting, które mogą być wykorzystane przeciwko administratorowi podczas próby migracji konta użytkownika Discord w panelu.

MyTube to samodzielny odtwarzacz i pobieracz wideo, w wersji 1.7.65 i potencjalnie wcześniejszych, występuje podatność, która pozwala nieautoryzowanym użytkownikom na ominięcie obowiązkowej weryfikacji uwierzytelnienia. Problem ten umożliwia atakującym dostęp do ustawień aplikacji oraz modyfikację haseł administracyjnych i użytkowników.

W systemie zarządzania szkołą itsourcecode w wersji 1.0 odkryto lukę bezpieczeństwa. Manipulacja argumentem ID w pliku /subject/index.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

SiYuan, system zarządzania wiedzą osobistą, w wersjach przed 3.5.4 zawiera podatność na trwały Cross-Site Scripting (XSS), umożliwiającą atakującemu wstrzyknięcie dowolnych atrybutów HTML do atrybutu `icon` bloku za pośrednictwem API `/api/attr/setBlockAttrs`. Ładunek jest później renderowany w funkcji dynamicznych ikon w niesanitowanym kontekście, co prowadzi do trwałego XSS, a w środowisku desktopowym potencjalnie do zdalnego wykonania kodu (RCE). Podatność omija wcześniejszą poprawkę dla problemu #15970. Wersja 3.5.4 zawiera zaktualizowaną poprawkę.

SiYuan to system zarządzania wiedzą osobistą. W wersjach przed 3.5.4 funkcja markdown umożliwia nieograniczone renderowanie HTML po stronie serwera, co pozwala na odczyt dowolnych plików.

Tugtainer to aplikacja do automatyzacji aktualizacji kontenerów Docker. W wersjach przed 1.16.1 mechanizm uwierzytelniania hasłem przesyła hasła za pomocą parametrów zapytania URL, co prowadzi do ich logowania w dziennikach dostępu serwera oraz potencjalnego ujawnienia przez historię przeglądarki, nagłówki Referer i dzienniki proxy.

CVE-2026-23843 dotyczy aplikacji webowej PHP 'teklifolustur_app', która umożliwia użytkownikom tworzenie, zarządzanie i śledzenie ofert dla klientów. Wcześniej istniała podatność typu Insecure Direct Object Reference (IDOR) w funkcjonalności przeglądania ofert, która pozwalała uwierzytelnionym użytkownikom na manipulowanie parametrem offer_id w celu uzyskania dostępu do ofert innych użytkowników.

ChatterBot to silnik dialogowy oparty na uczeniu maszynowym, który umożliwia tworzenie chatbotów. Wersje ChatterBot do 1.2.10 są podatne na atak typu denial-of-service spowodowany niewłaściwym zarządzaniem sesjami bazy danych i pulą połączeń, co może prowadzić do wyczerpania puli połączeń SQLAlchemy.

Movary to aplikacja internetowa do śledzenia, oceniania i eksplorowania historii oglądania filmów. Z powodu niewystarczającej walidacji danych wejściowych, atakujący mogą wywołać ładunki skryptów międzywitrynowych w wersjach przed 0.70.0. Wersja 0.70.0 naprawia ten problem.

Movary to aplikacja internetowa do śledzenia, oceniania i eksplorowania historii oglądania filmów. Z powodu niewystarczającej walidacji danych wejściowych, atakujący mogą wywołać ładunki skryptów międzywitrynowych w wersjach przed 0.70.0. Wersja 0.70.0 naprawia ten problem.

Movary to aplikacja internetowa do śledzenia, oceniania i eksplorowania historii oglądania filmów. Z powodu niewystarczającej walidacji danych wejściowych, atakujący mogą wywołać ładunki skryptów międzywitrynowych w wersjach przed 0.70.0. Wersja 0.70.0 naprawia ten problem.

Tandoor Recipes to menedżer przepisów, który może być instalowany przez menedżer pakietów Nix. Od wersji 23.05 do 26.05, przy domyślnej konfiguracji (SQLite i domyślny MEDIA_ROOT), plik bazy danych db.sqlite3 jest tworzony w tym samym katalogu co MEDIA_ROOT, przez co może być dostępny zewnętrznie, potencjalnie przez Internet, bez uwierzytelnienia.

W FreeRDP przed wersją 3.21.0 usuwanie bitmapy pozackranowej pozostawia wskaźnik `gdi->drawing` wskazujący na zwolnioną pamięć, co prowadzi do użycia po zwolnieniu (UAF) po otrzymaniu powiązanych pakietów aktualizacji. Złośliwy serwer może wywołać tę podatność po stronie klienta, powodując awarię (DoS) oraz potencjalne uszkodzenie sterty z ryzykiem wykonania kodu.

W FreeRDP przed wersją 3.21.0 funkcja `xf_Pointer_New` zwalnia pamięć `cursorPixels` w przypadku błędu, a następnie `pointer_free` wywołuje `xf_Pointer_Free`, które ponownie zwalnia tę samą pamięć, co prowadzi do podwójnego zwolnienia (use-after-free) wykrywanego przez ASan. Złośliwy serwer może wywołać tę podatność po stronie klienta, powodując awarię (DoS) oraz potencjalne uszkodzenie sterty, co może umożliwić wykonanie kodu w zależności od zachowania alokatora i układu sterty.

HotCRP to oprogramowanie do recenzji konferencyjnych. W wersji 3.1, wydanej w kwietniu 2024 roku, wprowadzono problem związany z niewłaściwie sanitizowanym generowaniem kodu dla formuł HotCRP, co umożliwiło użytkownikom wywołanie wykonania dowolnego kodu PHP. Problem został naprawiony w wersji 3.2.

W systemie ESPHome, w wersjach od 2025.9.0 do 2025.12.6, występuje przepełnienie całkowitej liczby w dekoderze protobuf komponentu API, co umożliwia ataki typu denial-of-service, gdy szyfrowanie API nie jest używane. Atakujący może wysłać złośliwą wartość `field_length`, co prowadzi do awarii urządzenia.

FreeRDP przed wersją 3.21.0 zawiera podatność w parsowaniu FastGlyph, gdzie długość danych nie jest weryfikowana względem minimalnego rozmiaru wynikającego z wymiarów cx/cy. Złośliwy serwer może wywołać przepełnienie bufora po stronie klienta, prowadząc do awarii (DoS).

OpenProject to oprogramowanie do zarządzania projektami, które ma podatność na przechowywane ataki typu cross-site scripting w widoku Roadmap. Wersje od 16.3.0 do 16.6.4 są narażone na wstrzykiwanie HTML z nazw projektów, co może prowadzić do nieautoryzowanego wykonania skryptów.

W FreeRDP przed wersją 3.21.0 wykryto podatność na przepełnienie bufora sterty po stronie klienta w dekodowaniu pasm ClearCodec. Specjalnie spreparowane współrzędne pasm umożliwiają zapis poza granicami bufora powierzchni docelowej.

W FreeRDP przed wersją 3.21.0 wykryto podatność na przepełnienie bufora sterty po stronie klienta w ścieżce dekodowania RDPGFX ClearCodec. Złośliwie spreparowane dane resztkowe powodują zapis poza dozwolonym obszarem podczas generowania kolorów, co może prowadzić do awarii i potencjalnego wykonania kodu.