Katalog podatności CVE

W Coppermine Photo Gallery do wersji 1.6.28 wykryto podatność w pliku db_input.php komponentu Hidden Album Update Endpoint. Manipulacja prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Aktualizacja do wersji 1.6.29 naprawia problem.

W Coppermine Photo Gallery do wersji 1.6.28 wykryto podatność w pliku profile.php komponentu edit_profile Endpoint. Manipulacja argumentem Biography prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 1.6.29 łagodzi problem.

Wtyczka MW WP Form dla WordPressa przed wersją 5.1.6 nie sanityzuje i nie escapuje niektórych ustawień formularzy przed ich wyświetleniem na stronie panelu administracyjnego, co może pozwolić użytkownikom z rolą co najmniej Edytora na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom z wyższymi uprawnieniami, takim jak administrator.

W bibliotece ash_sqlite (projekt ash-project) występuje podatność polegająca na nieprawidłowej neutralizacji specjalnych elementów w logice zapytań danych. Atakujący kontrolujący segment get_path/2 może przejść do zagnieżdżonego JSON, którego aplikacja nie udostępnia, ujawniając prywatne lub wrażliwe pola. Dzieje się tak, ponieważ ścieżka JSON jest budowana przez konkatenację segmentów bez odpowiedniego escapowania.

Podatność w bibliotece qs pozwala ominąć limit rozmiaru tablicy (arrayLimit) dla wartości rozdzielanych przecinkami, gdy używane są opcje comma: true i throwOnLimitExceeded: true. Dotyczy to kluczy w formie a[]=, gdzie wartość jest dzielona na tablicę bez sprawdzania limitu, co umożliwia alokację dowolnie dużej tablicy. Problem występuje w wersjach od 6.14.2 do 6.15.3 i został naprawiony w wersji 6.16.0.

W bibliotece ash_paper_trail (projekt ash-project) występuje podatność polegająca na nieefektywnej złożoności algorytmicznej. Użytkownik, który może przesłać duży atrybut tablicowy do akcji tworzenia lub aktualizacji śledzonej przez paper_trail, może spowodować odmowę usługi poprzez nadmierne zużycie CPU i pamięci. Wynika to z sześciennego skalowania operacji porównywania list w pełnym trybie diff.

Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.42 nieprawidłowo ogranicza dostęp do informacji o zamówieniach, co pozwala każdemu użytkownikowi z rolą instruktora na odczyt danych rozliczeniowych zamówień innych użytkowników, w tym imienia, adresu e-mail, numeru telefonu i adresu pocztowego, poprzez enumerację identyfikatorów zamówień.

Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.9 nie sprawdza, czy użytkownik posiada wymagane uprawnienia przed zmianą statusu wizyty, co pozwala klientom na ustawianie dowolnych statusów wizyt, na które są zapisani, w tym zatwierdzanie własnych rezerwacji oczekujących na zatwierdzenie oraz nadpisywanie statusów rezerwacji innych klientów na wspólnej wizycie.

free5GC przed wersją 1.4.5 zawiera podatność w komponencie AUSF, gdzie porównania kryptograficzne (RES* i XRES*, AT_MAC i XMAC) są wykonywane przy użyciu zwykłych funkcji porównujących, a oczekiwana wartość XRES* jest logowana na poziomie INFO. Może to ujawnić materiał uwierzytelniający osobom mającym dostęp do logów AUSF.

multer przed wersją 2.3.0 zawiera podatność na wyścig (race condition) w obsłudze strumienia plików, gdy używany jest asynchroniczny fileFilter wraz z limitem fileSize. Pozwala to na obejście odrzucenia pliku przekraczającego limit rozmiaru.

StorageGRID w wersjach 11.5 i nowszych, w niestandardowej konfiguracji i scenariuszu, jest podatny na atak typu Denial of Service. Udany atak może pozwolić osobie atakującej z pewną kontrolą nad środowiskiem na spowodowanie częściowej odmowy usługi.

Implementacja WireGuard w Zephyrze błędnie obsługiwała pakiety keepalive. Wiadomość typu 4 z 16-bajtowym ładunkiem (pusty tekst jawny i tag Poly1305) była akceptowana bez weryfikacji tagu uwierzytelniającego, ponieważ funkcja wg_process_data_message() zwracała wynik przed wywołaniem wg_decrypt_packet(). Atakujący mógł wysłać fałszywy keepalive, nie znając klucza sesji.

W houtini-ai houtini-lm do wersji 2.13.2 znaleziono błąd w nieznanej funkcji pliku src/index.ts komponentu code_task_files. Manipulacja może prowadzić do path traversal. Atak może być przeprowadzony zdalnie. Poprawka jest dostępna pod identyfikatorem 35d97bca0531894da36a85aedb95312da1bd5b7a.

W CodeChecker do wersji 6.28.2 występuje błąd w ldlogger-tool-gcc.c:129, gdzie funkcja safe_strcpy() (będąca strncpy()) zapisuje 4096 bajtów do bufora o pojemności 4094, powodując 2-bajtowe przepełnienie stosu przy każdym wywołaniu, niezależnie od długości ścieżki wejściowej. Poprawka CVE-2025-40843 zastąpiła niekontrolowane strcpy() bezpiecznym safe_strcpy(), ale niepoprawnie przekazała rozmiar.

file_picker (znany jako flutter_file_picker) dla Fluttera, wszystkie wersje do 10.3.10, jest podatny na path traversal (CWE-22) w implementacji na Androida. Metoda openFileStream() w FileUtils.kt używa DISPLAY_NAME uzyskanego z ContentResolver.query() bezpośrednio w konstrukcji ścieżki pliku bez sanityzacji. Złośliwa aplikacja na Androida z spreparowanym ContentProvider może zwrócić nazwę pliku zawierającą sekwencje ../, powodując, że plugin tworzy dowolne pliki i katalogi poza zamierzonym katalogiem cache w wewnętrznym magazynie ofiary. Istniejące pliki nie są nadpisywane ze względu na sprawdzenie istnienia.

W gitoxide przed wersją 0.38.2 nie są poprawnie walidowane znaki powrotu karetki w wartościach URL przekazywanych do pomocników poświadczeń. Atakujący mogą dostarczyć URL zawierające gołe powroty karetki, aby wstrzyknąć dodatkowe pola protokołu pomocnika i spowodować, że pomocnicy zwrócą poświadczenia dla hostów wskazanych przez atakującego zamiast żądanego URL.

W filebrowser od wersji 2.24.0 występuje wyścig w obsłudze przesyłania TUS, który pozwala uwierzytelnionym użytkownikom zapisywać poza zadeklarowaną długością Upload-Length poprzez wysyłanie równoczesnych żądań PATCH. Atakujący mogą wysyłać wiele jednoczesnych żądań PATCH na tym samym offsecie, aby ominąć walidację długości, co skutkuje plikami przekraczającymi zadeklarowany rozmiar i wyzwalaniem hooków zakończenia dla zbyt dużych przesyłek.

W filebrowser do wersji 2.63.23 nie są usuwane rekordy udostępniania, gdy udostępniony plik zostanie zmieniony nazwą (tylko usunięcie wyzwala czyszczenie). Rekord udostępniania jest powiązany ze ścieżką, więc przetrwa zmianę nazwy i pozostaje uśpiony (zwracając 404, gdy ścieżka jest pusta). Gdy później pojawi się nowy, niezwiązany plik pod oryginalną ścieżką — przez ponowne przesłanie, innego użytkownika z uprawnieniami do tworzenia lub hook — stary publiczny link udostępniania serwuje ten nowy plik z ustawieniami hasła i wygaśnięcia oryginalnego linku, nieoczekiwanie go ujawniając.

Wersje File Browser od 2.63.6 do 2.63.23 nie usuwają publicznych linków udostępniania, gdy uprzywilejowany użytkownik usunie plik udostępniony przez innego użytkownika. Atakujący mogą uzyskać dostęp do przetrwałego linku udostępniania, aby pobrać nowe, niezwiązane treści przesłane na tę samą ścieżkę bez uwierzytelnienia.

W Sieve zużycie zasobów CPU jest śledzone w skompilowanym skrypcie, więc atakujący z ważnymi poświadczeniami może zresetować licznik, wielokrotnie zmieniając aktywny skrypt. Skompilowane pliki skryptów nie są również usuwane, gdy skrypt jest usuwany lub zmieniany nazwą. Skonfigurowany limit CPU Sieve może zostać ominięty, co pozwala na ciągłe zużycie CPU, a pozostawione pliki zwiększają zużycie dysku. Oba mogą powodować degradację usługi dostarczania poczty. Monitoruj system pod kątem nieprawidłowego zużycia CPU i dysku. Zaktualizuj do niepodatnej wersji. Nie są znane publiczne exploity.