Katalog podatności CVE

Podatność na zdalne wykonanie kodu (RCE) w Sourcecodester Covid-19 Contact Tracing System 1.0. Aplikacja przyjmuje reverse shell (php) w obrazie użytkownika, umożliwiając RCE.

Podatność SQL Injection na stronie /exam/user/profile.php w kashipara Online Exam System V1.0. Atakujący zdalnie może wykonać dowolne polecenia SQL, uzyskując nieautoryzowany dostęp do bazy danych przez parametry rname, rcollage, rnumber, rgender i rpassword w żądaniu POST.

W aplikacji xmall v1.1 w interfejsie API /member/orderList występuje nieprawidłowa kontrola dostępu. Atakujący może manipulować parametrem zapytania userId, aby uzyskać dostęp do szczegółów zamówień innych użytkowników.

CVE-2026-22785 dotyczy podatności w orval, który generuje typowo bezpieczne klienty JS (TypeScript) z specyfikacji OpenAPI v3 lub Swagger v2. W wersjach przed 7.18.0 logika generacji serwera MCP opiera się na manipulacji ciągami, co pozwala na wstrzykiwanie dowolnego kodu poprzez niewłaściwą walidację pola podsumowania.

Podatność w DFIR-IRIS (platforma Iris) przed wersją 2.4.24: masowe przypisanie pola file_local_name w połączeniu z zaufaniem do ścieżki w operacji usuwania umożliwia uwierzytelnionym użytkownikom usuwanie dowolnych ścieżek w systemie plików.

TinyWeb HTTP Server przed wersją 1.98 jest podatny na wstrzykiwanie poleceń systemu operacyjnego przez parametry zapytania CGI w stylu ISINDEX. Parametry są przekazywane jako argumenty wiersza poleceń do pliku wykonywalnego CGI przez Windows CreateProcess(). Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia na serwerze, wstrzykując metaznaki powłoki Windows do żądań HTTP. Luka została naprawiona w wersji 1.98.

cpp-httplib przed wersją 0.30.1 zawiera podatność na atak DoS związaną z niebezpiecznym obsługiwaniem skompresowanych treści żądań HTTP. Biblioteka sprawdza maksymalny rozmiar ładunku na podstawie skompresowanych danych, ale nie ogranicza rozmiaru zdekompresowanych danych przechowywanych w pamięci.

Podatność w Envoy Gateway przed wersjami 1.5.7 i 1.6.2 umożliwia wyciek poświadczeń proxy przez skrypty Lua w EnvoyExtensionPolicy. Wycieknięte poświadczenia mogą zostać użyte do komunikacji z płaszczyzną sterowania i uzyskania dostępu do wszystkich sekretów używanych przez proxy, w tym kluczy prywatnych TLS i poświadczeń komunikacji.

LibreChat przed wersją v0.8.2-rc2 ma podatność w transporcie MCP stdio, który akceptuje dowolne polecenia bez walidacji. Pozwala to każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń powłoki jako root wewnątrz kontenera przez pojedyncze żądanie API. Luka została naprawiona w wersji v0.8.2-rc2.

Podatność w osTicket w wersjach 1.18.x przed 1.18.3 oraz 1.17.x przed 1.17.7 umożliwia zdalnemu atakującemu odczyt dowolnych plików z serwera poprzez eksport biletu do PDF. Atakujący może przesłać bilet zawierający spreparowany bogaty tekst HTML z wyrażeniami PHP filter, które nie są wystarczająco oczyszczane przed przetworzeniem przez generator PDF mPDF. Podczas eksportu biletu do PDF, wygenerowany plik może zawierać treści wybranych plików z systemu plików serwera jako obrazy bitmapowe, co prowadzi do ujawnienia wrażliwych plików lokalnych w kontekście użytkownika aplikacji osTicket.

MindsDB, platforma do budowy sztucznej inteligencji, przed wersją 25.11.1 miała podatność na nieautoryzowany atak typu path traversal w API przesyłania plików. Umożliwia to atakującemu odczyt dowolnych plików z systemu plików serwera oraz przeniesienie ich do magazynu MindsDB, co prowadzi do ujawnienia wrażliwych danych.

W systemie DDSN Interactive Acora CMS v10.7.1 funkcja resetowania hasła używa statycznego tokena, co umożliwia atakującemu wielokrotne użycie tego samego tokena do zresetowania hasła dowolnego użytkownika i przejęcia jego konta.

W Automai BotManager w wersji v.25.2.0 występuje problem umożliwiający zdalnemu atakującemu wykonanie dowolnego kodu za pośrednictwem komponentu BotManager.exe.

W aplikacji Automai Director w wersji 25.2.0 występuje problem umożliwiający zdalnemu atakującemu wykonanie dowolnego kodu poprzez mechanizm aktualizacji.

W aplikacji Automai Director w wersji 25.2.0 występuje problem umożliwiający zdalnemu atakującemu eskalację uprawnień i uzyskanie wrażliwych informacji poprzez spreparowany plik JavaScript.

W Automai Director w wersji v.25.2.0 występuje problem umożliwiający zdalnemu atakującemu eskalację uprawnień.

W wersjach Errands przed 46.2.10 nie weryfikowane są certyfikaty TLS dla serwerów CalDAV. Może to prowadzić do potencjalnych ataków typu man-in-the-middle.

System D3D Wi-Fi Home Security ZX-G12 v2.1.17 jest podatny na zagłuszanie RF na kanale czujnika alarmowego 433 MHz. Atakujący w zasięgu RF może transmitować ciągłe zakłócenia blokujące transmisje czujników, co prowadzi do pominięcia alarmów i utraty monitorowania bezpieczeństwa. Urządzenie nie posiada detekcji zagłuszania ani zabezpieczeń, co stwarza warunki do ataku DoS.

System D3D Wi-Fi Home Security ZX-G12 v2.1.1 jest podatny na ataki przez powtórzenie ramek RF na kanale komunikacyjnym czujników 433 MHz. Brak implementacji kodów zmiennych, uwierzytelniania wiadomości lub ochrony przed powtórzeniem umożliwia atakującemu w zasięgu RF nagranie prawidłowych ramek alarmowych/sterujących i ich odtworzenie w celu wywołania fałszywych alarmów.

W aplikacji Viafirma Documents w wersji 3.7.129 występują słabości w mechanizmach autoryzacji, które pozwalają uwierzytelnionemu użytkownikowi bez uprawnień na listowanie i dostęp do danych innych użytkowników, korzystanie z funkcji tworzenia, modyfikacji i usuwania użytkowników oraz eskalację uprawnień poprzez podszywanie się pod innych użytkowników podczas generowania i podpisywania dokumentów.