Katalog podatności CVE

W Emlog w wersji 2.6.2 i wcześniejszych wykryto podatność na SQL injection w funkcji updateTagName() w pliku include/model/tag_model.php. Funkcja bezpośrednio interpoluje dane wejściowe użytkownika do zapytania SQL bez użycia sparametryzowanych zapytań, co umożliwia atak SQL injection.

W systemie Emlog w wersji 2.6.2 i starszych występuje podatność na lokalne dołączanie plików (LFI) w pliku admin/plugin.php. Parametr $plugin z żądania GET jest bezpośrednio używany w ścieżce require_once bez odpowiedniego oczyszczania. Jeśli możliwe jest ominięcie sprawdzania tokena CSRF, atakujący może dołączyć dowolne pliki PHP z systemu plików serwera, prowadząc do wykonania kodu.

Emlog przed wersją 2.6.8 zawiera podatność na trwałe XSS w module komentarzy poprzez obejście walidacji schematu URI. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się przy przeglądaniu strony z komentarzem.

Emlog przed wersją 2.6.8 zawiera podatność w interfejsie aktualizacji backendu, który akceptuje zdalne adresy URL SQL i ZIP przez parametry GET. Serwer pobiera i wykonuje plik SQL, a następnie pobiera plik ZIP i rozpakowuje go bezpośrednio do katalogu głównego serwera. Proces nie waliduje tokena CSRF, więc atakujący może nakłonić uwierzytelnionego administratora do odwiedzenia złośliwego linku, co prowadzi do dowolnego wykonania SQL i zapisu plików.

nimiq/core-rs-albatross przed wersją 1.3.0 zawiera podatność, w której wybrany walidator-proposer może wysłać blok makro wyborczy, którego header.interlink nie zgadza się z kanonicznym następnym interlinkiem. Uczciwi walidatorzy akceptują tę propozycję, ponieważ funkcja verify_macro_block_proposal() nie sprawdza wiązania interlink dla bloków wyborczych. Ten sam sfinalizowany blok jest później odrzucany przez verify_block() z błędem InvalidInterlink, ale dzieje się to po podjęciu decyzji przez Tendermint, co może prowadzić do problemów z konsensusem.

W LTI JupyterHub Authenticator przed wersją 1.6.3 walidator LTI 1.1 przechowuje nonce OAuth w słowniku na poziomie klasy, który rośnie bez ograniczeń. Nonce są dodawane przed weryfikacją podpisu, więc atakujący znający prawidłowy klucz konsumenta może wysyłać powtarzane żądania z unikalnymi nonce, stopniowo wyczerpując pamięć serwera i powodując odmowę usługi.

Produkty Hirschmann HiLCOS (OpenBAT, BAT450, WLC, BAT867) zawierają podatność filtrowania zapory sieciowej, która nieprawidłowo filtruje ruch multicast i broadcast IPv4, gdy filtrowanie adresów IP zarządzania jest wyłączone. Umożliwia to ominięcie skonfigurowanych reguł zapory.

OpenPrinting CUPS w wersjach do 2.4.16 ma podatność na przepełnienie bufora sterty w schedulerze CUPS podczas budowania ciągów opcji filtru z atrybutów zadania. W chwili publikacji nie ma publicznie dostępnych poprawek.

W systemie OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych, notyfikator RSS umożliwia przejście ścieżki (path traversal) w parametrze notify-recipient-uri, co pozwala zdalnemu klientowi IPP na zapis plików XML RSS poza katalogiem CacheDir/rss, w dowolnym miejscu zapisywalnym przez użytkownika lp. Wykorzystując domyślne uprawnienia grupy (root:lp, tryb 0770), notyfikator działający jako lp może nadpisać pliki stanu zarządzane przez roota, co po restarcie cupsd powoduje błędy parsowania pamięci podręcznej zadań i utratę wcześniej zakolejkowanych zadań.

Discourse, otwartoźródłowa platforma dyskusyjna, zawiera lukę, która ujawnia niestandardowe pola użytkownika i nazwę użytkownika na publicznych stronach zaproszeń bez weryfikacji e-mail. Luka występuje w wersjach od 2026.1.0-latest do przed 2026.1.3, od 2026.2.0-latest do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0.

JupyterHub przed wersją 5.4.4 zawiera podatność na otwarte przekierowanie, która pozwala atakującym konstruować linki, które po kliknięciu kierują użytkownika do strony logowania JupyterHub, a następnie do dowolnej strony kontrolowanej przez atakującego, omijając mechanizm zabezpieczający JupyterHub.

Discourse w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0 do przed 2026.3.0 zawiera podatność na obejście autoryzacji. Nieuwierzytelnieni lub nieautoryzowani użytkownicy mogą wyświetlić tagi przeznaczone tylko dla personelu oraz powiązane dane.

W narzędziu util-linux przed wersją 2.41.4 wykryto podatność TOCTOU w binarnym pliku SUID /usr/bin/mount. Podczas konfigurowania urządzeń pętlowych mount waliduje ścieżkę pliku źródłowego z uprawnieniami użytkownika, ale później ponownie kanonizuje i otwiera ją z uprawnieniami roota bez weryfikacji, czy ścieżka nie została podmieniona. Lokalny nieuprzywilejowany użytkownik może zastąpić plik źródłowy dowiązaniem symbolicznym do pliku lub urządzenia należącego do roota.

OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych zawiera podatność polegającą na obejściu autoryzacji z powodu porównywania nazw użytkowników bez uwzględniania wielkości liter. Umożliwia to nieuprzywilejowanemu użytkownikowi uzyskanie nieautoryzowanego dostępu do zastrzeżonych operacji poprzez użycie nazwy użytkownika różniącej się tylko wielkością liter od autoryzowanego użytkownika. W chwili publikacji nie ma publicznie dostępnych łat.

Sterownik Amazon Athena ODBC przed wersją 2.1.0.0 zawiera podatność na zapis poza zakresem w komponentach przetwarzania zapytań. Specjalnie spreparowane dane mogą spowodować awarię sterownika podczas operacji zapytań.

OpenClaw przed wersją 2026.4.2 ponownie używa weryfikatora PKCE jako parametru stanu OAuth w przepływie Gemini OAuth, ujawniając go w adresie URL przekierowania. Atakujący, którzy przechwycą URL przekierowania, mogą uzyskać zarówno kod autoryzacyjny, jak i weryfikator PKCE, omijając ochronę PKCE.

W aplikacji istnieją punkty końcowe API przeznaczone do celów deweloperskich i testowych, które odzwierciedlają funkcjonalność produkcyjną. Oznacza to, że mogą one być dostępne w środowisku produkcyjnym, co stwarza ryzyko nieautoryzowanego dostępu.

Konkretny administracyjny punkt końcowy 'notifications' jest dostępny bez odpowiedniego uwierzytelnienia.

Zulip przed wersją 11.6 ma podatność na path traversal w ./manage.py import, która pozwala na odczyt dowolnych plików z systemu plików serwera. Sfałszowany tarball eksportu powoduje kopiowanie plików do katalogu uploads podczas importu.

W Zulip przed wersją 11.6, nawet po wyłączeniu dostępu widza (spectator access), załączniki pochodzące z publicznych strumieni web-public nadal były dostępne anonimowo. Ponadto endpoint /users/me/<stream_id>/topics pozostawał osiągalny anonimowo, umożliwiając odczyt historii tematów dla tych strumieni.