Katalog podatności CVE

W systemie Sangoma Switchvox SMB Edition w wersji 8.3 (104997) wykryto nieuwierzytelnioną, odbitą podatność XSS. Aplikacja nieprawidłowo oczyszcza parametr 'portal' przekazywany do handlerów invalid_browser i invalid_browser_login, co pozwala na wykonanie skryptów w przeglądarce ofiary.

Open Event Server do wersji 1.19.1 zawiera brak uwierzytelniania w punkcie końcowym eksportu CSV członków grupy, co pozwala nieuwierzytelnionym atakującym na wyeksportowanie pełnej listy członków dowolnej grupy, w tym adresów e-mail, nazw, dat dołączenia i ról. Atakujący mogą enumerować identyfikatory grup metodą brute-force, wywołać eksport przez nieuwierzytelniony endpoint POST, a następnie odpytywać nieuwierzytelniony endpoint statusu zadania, aż do uzyskania adresu URL z pełnym plikiem CSV.

ForgeCode automatycznie ładuje i wykonuje serwery MCP zdefiniowane w pliku .mcp.json repozytorium bez potwierdzenia użytkownika. Złośliwe repozytorium może dostarczyć spreparowany plik .mcp.json, który uruchamia dowolne polecenia (np. bash -c 'touch /tmp/pwned') z uprawnieniami użytkownika. Prowadzi to do zdalnego wykonania kodu podczas pracy z niezaufanym repozytorium.

Podatność w Symfony UX pozwala atakującemu na podmianę podpisanego bloku danych między komponentami lub slotami, co umożliwia ustawienie właściwości tylko do odczytu w docelowym komponencie. Problem dotyczy wersji od 2.8.0 do 2.36.0 oraz 3.1.0.

Podatność w Symfony UX pozwala nieuwierzytelnionym użytkownikom na przekształcenie publicznego endpointu autouzupełniania w szeroki mechanizm dopasowujący lub ślepy oracle boolowski. Problem wynika z braku escapowania znaków wieloznacznych LIKE (% , _ , \) w zapytaniu klienta.

Brak uwierzytelniania dla krytycznej funkcji w Vimesoft Enterprise Video Platform umożliwia ominięcie mechanizmu uwierzytelniania. Podatność dotyczy wersji od 3.11.0.0 do 3.25.0 (z wyłączeniem 3.25.0).

Rozszerzenie Joomla Events Booking w wersji poniżej 5.8.0 posiada endpoint do przesyłania plików bez ochrony CSRF, co umożliwia enumerację użytkowników.

Podatność XSS w rozszerzeniu ChronoForms dla Joomla w wersjach 8.0 do 8.0.52 pozwala nieuwierzytelnionemu atakującemu na trwałe wstrzyknięcie skryptów.

W GitHub Enterprise Server wykryto podatność polegającą na przechodzeniu poza katalog (path traversal) w kontenerze Dependabot updater. Atakujący z możliwością wykonania kodu w tym kontenerze mógł zapisywać pliki w dowolnych ścieżkach repozytorium, w tym w plikach przepływów pracy GitHub Actions, co mogło prowadzić do kradzieży sekretów.

Podatność Broken Object Level Authorization (BOLA) w osTicket w wersjach 1.18.3 i 1.17.7 umożliwia niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w podsystemie zarządzania zgłoszeniami AJAX. Atakujący może uzyskać nieautoryzowany dostęp do zgłoszeń innych użytkowników.

Podatność w bibliotece HTTP::Date dla Perla przed wersją 6.08 powoduje wyczerpanie zasobów CPU poprzez wielomianowe cofanie się wyrażeń regularnych w funkcji parse_date. Atakujący może wysłać spreparowany nagłówek daty, który wymusza kwadratową złożoność obliczeniową, prowadząc do długotrwałego obciążenia procesora.

W Google Cloud Firebase Studio przed 15 kwietnia 2026 roku brak autoryzacji umożliwiał atakującemu pobranie kodu źródłowego innych użytkowników i dostęp do wrażliwych danych poprzez nieautoryzowane żądania podpisywania URL-i GCS. Podatność została załatana 15 kwietnia 2026 roku i nie wymaga działań ze strony klienta.

Podatność open redirect w SigNoz przed wersją 0.134.0 w przepływie uwierzytelniania SSO. Nieuwierzytelniony atakujący może ukraść tokeny sesji od użytkowników w instancjach skonfigurowanych z Google OAuth, SAML lub OIDC.

Podatność polegająca na podstawieniu złośliwego pliku git.exe w katalogu głównym repozytorium. Gdy programista sklonuje i otworzy spreparowane repozytorium, Cursor automatycznie uruchomi złośliwy plik bez interakcji użytkownika, co prowadzi do wykonania dowolnego kodu.

W Proxmox Virtual Environment (PVE) 9.x i 8.x wykryto warunek wyścigu między wywołaniami API vncproxy i vncwebsocket. Umożliwia on atakującemu z uprawnieniami do wywołania vncproxy przechwycenie sesji VNC ustanowionej równolegle przez innego użytkownika dla innej maszyny wirtualnej.

Podatność w SEPPmail Secure Email Gateway i SEPPmail Cloud przed wersją 15.0.4.2 umożliwia atakującemu przechwycenie i odtworzenie sesji użytkownika w portalu GINA. Token sesji jest ujawniany w adresie URL oraz nagłówku HTTP.

Podatność w oprogramowaniu E-Commerce firmy IKAS Technology Inc. umożliwia wstawienie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych danych wrażliwych. Luka dotyczy wersji do 03062026 włącznie.

W bibliotece poco-ai poco-claw do wersji 0.5.4 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji run_task pliku executor/app/api/v1/task.py, gdzie argument callback_url może być manipulowany przez atakującego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W oprogramowaniu AhnLab EPP Management w wersji 1.0.14.32-6249 wykryto podatność na wstrzykiwanie NoSQL w endpointcie eventlog/agentEvent/list. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych NoSQL.

W produkcie NetGIS firmy Netcad Software Inc. wykryto podatność polegającą na nieprawidłowym ograniczeniu odwołań do zewnętrznych encji XML (XXE). Luka umożliwia atakującemu wykonanie zewnętrznego łącza danych seryjnych, co może prowadzić do ujawnienia poufnych informacji.