Katalog podatności CVE

Rukovoditel CRM w wersji 3.6.4 i wcześniejszych zawiera odbitą podatność XSS w punkcie końcowym API Zadarma (/api/tel/zadarma.php). Aplikacja bezpośrednio odzwierciedla dane wejściowe użytkownika z parametru GET 'zd_echo' w odpowiedzi HTTP bez odpowiedniej sanityzacji, kodowania wyjścia lub ograniczeń typu treści.

Podatność CVE-2026-5059 dotyczy serwera aws-mcp, umożliwiając zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z braku odpowiedniej walidacji ciągu dostarczonego przez użytkownika przed jego użyciem do wykonania wywołania systemowego.

Podatność CVE-2026-5058 dotyczy aws-mcp-server i pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z braku odpowiedniej walidacji łańcucha dostarczonego przez użytkownika przed jego użyciem do wykonania wywołania systemowego.

Podatność CVE-2026-4149 dotyczy urządzenia Sonos Era 300 i pozwala zdalnym atakującym na wykonanie dowolnego kodu. Problem wynika z niewłaściwego przetwarzania pola DataOffset w odpowiedziach SMB, co prowadzi do dostępu do pamięci poza przydzielonym buforem.

Podatność w goshs przed wersją 2.0.0-beta.4 pozwala nieautoryzowanym atakującym na przesyłanie plików, tworzenie katalogów oraz usuwanie plików w chronionych folderach .goshs. Atakujący mogą również usunąć plik .goshs, co pozwala na obejście mechanizmu autoryzacji.

Chartbrew to aplikacja webowa typu open-source, która umożliwia użytkownikom autoryzowanym tworzenie połączeń z danymi API przy użyciu dowolnych adresów URL. W wersjach przed 4.8.5, serwer nie weryfikował adresów IP, co umożliwiało ataki typu Server-Side Request Forgery na wewnętrzne sieci i punkty końcowe metadanych w chmurze.

Chamilo LMS to system zarządzania nauczaniem. W wersjach przed 1.11.38 i 2.0.0-RC.3 mechanizm resetowania hasła generuje tokeny przy użyciu sha1($email) bez komponentu losowego, bez daty wygaśnięcia i bez ograniczeń szybkości. Atakujący, który zna adres e-mail użytkownika, może obliczyć token resetujący i zmienić hasło ofiary bez uwierzytelnienia.

Chamilo LMS to system zarządzania nauczaniem. Przed wersją 1.11.38, złożony atak może umożliwić wykonanie zablokowanego kodu PHP z katalogu main/install/, co pozwala nieautoryzowanemu atakującemu na modyfikację istniejących plików lub tworzenie nowych plików, jeśli pozwalają na to uprawnienia systemowe.

Chamilo LMS to system zarządzania nauczaniem, który przed wersjami 1.11.38 i 2.0.0-RC.3 zawiera podatność na wstrzykiwanie poleceń systemowych w funkcji przenoszenia plików. Funkcja move() w pliku fileManage.lib.php przekazuje wartości ścieżek kontrolowane przez użytkownika bezpośrednio do poleceń powłoki exec(), co umożliwia atakującym wykonanie nieautoryzowanych poleceń.

W aplikacji BMC Control-M/MFT w wersjach od 9.0.20 do 9.0.22 odkryto problem związany z twardo zakodowanymi domyślnymi danymi logowania użytkownika debugowania w postaci niezaszyfrowanej. Pozostawienie tych danych bez zmian może umożliwić nieautoryzowany dostęp do interfejsu debugowania API MFT.

Portal inżynierów SourceCodester v1.0 jest podatny na atak typu SQL Injection w pliku update_password.php poprzez parametr new_password.

W systemie rejestracji studentów itsourcecode v1.0 odkryto podatność na wstrzyknięcie SQL w pliku scheduleSubList.php. Problem wynika z bezpośredniego włączenia parametru 'subjcode' do zapytania SQL za pomocą interpolacji łańcuchów, bez jakiejkolwiek sanitizacji lub walidacji.

System rejestracji studentów Online w wersji 1.0 jest podatny na atak typu SQL Injection poprzez parametr 'coursename' w pliku newCourse.php.

W systemie Online Student Enrollment System v1.0 zidentyfikowano podatność na wstrzykiwanie SQL w pliku assignInstructorSubjects.php. Atakujący mogą wstrzykiwać złośliwy kod przez parametr 'subjcode', który jest używany bez odpowiedniego oczyszczania lub walidacji w zapytaniach SQL.

W systemie rejestracji studentów itsourcecode v1.0 odkryto podatność na wstrzyknięcie SQL w pliku instructorClasses.php. Problem wynika z bezpośredniego łączenia parametru 'classId' z $_GET['classId'] w zapytaniu SQL bez jakiejkolwiek sanitizacji lub walidacji.

W systemie logowania użytkowników PHP-MYSQL w wersji 1.0 odkryto podatność na atak typu SQL injection poprzez parametr 'username' w pliku login.php.

Owntone-server w wersji 2ca10d9 jest podatny na przepełnienie bufora z powodu braku rekurencyjnego sprawdzania. Ta luka może prowadzić do nieautoryzowanego dostępu lub awarii systemu.

NASM zawiera podatność typu use after free w przetwarzaniu plików odpowiedzi (-@), gdzie wskaźnik do zwolnionej pamięci jest przechowywany w globalnej zmiennej depend_file i później dereferencjonowany. Bufor pliku odpowiedzi jest zwalniany przed użyciem wskaźnika, co może prowadzić do uszkodzenia danych lub zdalnego wykonania kodu.

W wersjach Juju przed 2.9.57 i 3.6.21 występuje problem z autoryzacją w fasadzie kontrolera. Użytkownik z autoryzacją może wywołać metodę API CloudSpec, aby wydobyć dane uwierzytelniające chmury używane do uruchomienia kontrolera.

FalkorDB Browser w wersji 1.9.3 zawiera podatność na nieautoryzowany atak typu path traversal w API przesyłania plików, co pozwala zdalnym atakującym na zapis dowolnych plików oraz uzyskanie zdalnego wykonania kodu.