Katalog podatności CVE

Serwer MCP WhatsApp w wersji przed 0.2.1 zawiera krytyczne podatności: brak uwierzytelnienia w API HTTP na porcie 8080, brak walidacji nagłówka Host oraz możliwość podania absolutnej ścieżki do pliku w endpointcie `/api/send`. Pozwala to lokalnym procesom na wysyłanie wiadomości WhatsApp i kradzież plików, a zdalnym atakującym na wykorzystanie DNS rebinding.

Przepełnienie bufora sterty (heap-based buffer overflow) w mechanizmie przekazywania kanałów wirtualnych w xrdp w wersjach 0.10.6 i wcześniejszych. Uwierzytelniony zdalny atakujący może wysłać spreparowaną wiadomość kanału wirtualnego, powodując uszkodzenie pamięci sterty.

Podatność na przepełnienie liczby całkowitej w xrdp podczas przetwarzania aktualizacji ekranu w trybie vnc-any. Złośliwy serwer VNC może wysłać spreparowane wymiary obrazu, prowadząc do nieprawidłowej alokacji pamięci i odczytu poza zakresem.

W egroupware w wersji 26.0 i wcześniejszych, uwierzytelniony administrator może uzyskać zdalne wykonanie kodu na poziomie systemu operacyjnego poprzez przesłanie złośliwego pliku szablonu eTemplate XML (.xet) do katalogu VFS /etemplates. Metoda Widget::expand_name() przekazuje wartości atrybutów widżetu szablonu bezpośrednio do wywołania PHP eval() z tylko podwójnym cudzysłowem, ale znaki backtick nie są escapowane. W PHP backticki w ciągu eval() wykonują polecenia powłoki, co pozwala administratorowi na eskalację z dostępu do aplikacji webowej do dowolnego wykonania poleceń systemowych na serwerze.

Brak sanityzacji danych w funkcji afsql_dd_run_query w syslog-ng przed wersją 4.12 powoduje podatność na wstrzykiwanie SQL z niezaufanego źródła. Luka nie występuje w domyślnej konfiguracji, wymaga ręcznego skonfigurowania sterownika SQL. Naprawiona w syslog-ng 4.12, Premium Edition 8.2 i Store Box 7.8.

Frappe LMS w wersji 2.51.0 i wcześniejszych umożliwia użytkownikowi ominięcie walidacji płatności za kursy poprzez użycie niepowiązanego batcha. Luka została załatana w wersji 2.52.0.

Podatność w bibliotece libvips do wersji 8.18.1 włącznie. Operacja tiffload może błędnie określić liczbę kanałów w kafelkach JPEG/JPEG2000 w obrazie TIFF, prowadząc do przepełnienia bufora. Problem naprawiono w wersji 8.18.2.

Podatność w bibliotece libvips do wersji 8.18.0 włącznie. Operacja vipsload może błędnie określić wymiary obrazu, prowadząc do przepełnienia liczby całkowitej i następnie przepełnienia bufora sterty. Problem naprawiono w wersji 8.18.1.

W systemie dataCycle-CORE przed wersją 25.07.3 brak ograniczeń liczby prób logowania zarówno przez przeglądarkę, jak i API. Funkcja blokowania konta jest wyłączona, a żądania nie są ograniczane czasowo, co umożliwia atakującemu ciągłe odgadywanie haseł.

W systemie dataCycle-CORE przed wersją 25.07.3 uwierzytelniony użytkownik API o niskich uprawnieniach może podać własne adresy URL w procesie resetowania hasła lub potwierdzania konta. Te adresy są osadzane w wiadomościach e-mail bez weryfikacji dozwolonych hostów.

W systemie dataCycle-CORE przed wersją 25.07.3 uwierzytelniony użytkownik API może użyć swojego tokena dostępu, aby zapytać API kolekcji o uprawnienia innego użytkownika, podając jego adres e-mail. Jeśli docelowy użytkownik posiada kolekcje, mogą one zostać ujawnione. W V4 znana kolekcja może być modyfikowana przez dodawanie/usuwanie elementów bez odpowiedniej autoryzacji.

W systemie dataCycle-CORE przed wersją 25.07.3 moduł renderowania dokumentacji i statycznych plików Markdown nieprawidłowo obsługuje ścieżki kontrolowane przez atakującego. Atakujący bez uwierzytelnienia może wykorzystać sekwencje przejścia do katalogu nadrzędnego (directory traversal) i odczytać dowolne pliki .md spoza zamierzonych katalogów docs lub static.

Podatność w dataCycle-CORE przed wersją 26.06.08 (w tym 25.07.3). Endpoint /remote_render nie ogranicza, które partiale mogą być renderowane, co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp do treści administracyjnych renderowanych po stronie serwera.

Podatność w HeyForm przed wersją 3.0.0-rc.9: endpoint POST /api/upload nie wymaga uwierzytelnienia ani walidacji kontekstu formularza. Każdy anonimowy użytkownik może przesłać plik (do 10 MB) i otrzymać publiczny URL.

Wtyczka Caddy Defender do wersji 0.10.1 używała `r.RemoteAddr` zamiast rozpoznanego adresu IP klienta (`client_ip`) do blokowania żądań. W konfiguracjach z zaufanym proxy, CDN lub load balancerem, `RemoteAddr` wskazuje na adres proxy, a nie rzeczywistego klienta, co umożliwia ominięcie blokad przez atakujących z zablokowanych zakresów IP.

Mailpit przed wersją 1.30.0 nie ogranicza rozmiaru danych przesyłanych przez SMTP ani HTTP, co pozwala atakującemu na wysłanie bardzo dużych wiadomości. Powoduje to gwałtowny wzrost zużycia pamięci RAM (nawet 7-10 razy większy niż rozmiar danych), co może doprowadzić do zabicia procesu przez OOM.

Podatność w dataCycle-CORE przed wersją 26.06.08 (w tym 25.07.3). Każdy, kto posiada UUID linku DataLink, może pobrać załączony plik tekstowy, nawet jeśli link wygasł, użytkownik jest nieuwierzytelniony lub normalny przepływ by go zablokował.

W Wazuh przed wersją 4.14.5 występują podatności w obsłudze klastrowego API (DAPI), które pozwalają uwierzytelnionemu węzłowi klastra lub atakującemu z kluczem klastra na deserializację złośliwego obiektu i wykonanie go w kontekście RBAC kontrolowanym przez atakującego, co umożliwia pełne przejęcie menedżera.

Podatność w EGroupware umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) na serwerze. Jeśli rejestracja użytkowników jest włączona, luka może być wykorzystana bez uwierzytelnienia. Problem wynika z nieprawidłowych kontroli autoryzacji w połączeniu z zapisem plików i odczytem dowolnych plików.

Biblioteka HDF5 jest podatna na odczyt poza zakresem, gdy plik jest celowo uszkodzony – rozmiar typu danych tablicy, liczba elementów i rozmiar elementu są niezgodne. Podatność występuje tylko w złośliwie zmodyfikowanych plikach, nie w normalnym użyciu.