Katalog podatności CVE

W jądrze systemu Linux zidentyfikowano podatność związana z użyciem po zwolnieniu pamięci (use-after-free) w kontekście DURABLE_REQ_V2, co może prowadzić do dereferencji nieaktualnego wskaźnika. Problem występuje w funkcji parse_durable_handle_context(), która niepoprawnie przypisuje połączenie do aktywnych uchwytów plików.

Azure Databricks zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która umożliwia nieuwierzytelnionemu atakującemu eskalację uprawnień w sieci.

Microsoft Azure Kubernetes Service zawiera podatność polegającą na nieprawidłowej autoryzacji, która umożliwia nieuwierzytelnionemu atakującemu eskalację uprawnień w sieci.

Nieprawidłowa autoryzacja w Azure AI Foundry umożliwia nieuwierzytelnionemu atakującemu podniesienie uprawnień w sieci.

Brak uwierzytelniania dla krytycznej funkcji w Azure MCP Server umożliwia nieuwierzytelnionemu atakującemu ujawnienie informacji w sieci.

Podatność typu Server-Side Request Forgery (SSRF) w Azure Custom Locations Resource Provider (RP) pozwala autoryzowanemu atakującemu na eskalację uprawnień w sieci.

OneUptime to platforma monitorująca open-source. W wersjach przed 10.0.42 serwis Worker udostępnia endpointy do uruchamiania workflowów bez uwierzytelnienia. Atakujący znający identyfikator workflow może uruchomić dowolny workflow z kontrolowanymi danymi wejściowymi, co umożliwia wykonanie kodu JavaScript, nadużycie powiadomień i manipulację danymi.

Hoppscotch przed wersją 2026.3.0 zawiera podatność na trwały XSS, która może prowadzić do fałszowania żądań międzywitrynowych (CSRF).

Hoppscotch przed wersją 2026.3.0 zawiera podatność na otwarte przekierowanie, która prowadzi do wycieku tokenów. Dzięki tym tokenom atakujący może zalogować się jako ofiara i przejąć jej konto.

Group-Office przed wersjami 6.8.156, 25.0.90 i 26.0.12 ma podatność w modelu AbstractSettingsCollection prowadzącą do niezabezpieczonej deserializacji, co umożliwia zapis dowolnego pliku i zdalne wykonanie kodu.

Urządzenia Hirschmann HiEOS w wersjach przed 01.1.00 zawierają lukę w module zarządzania HTTP(S), która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp administracyjny poprzez wysłanie specjalnie spreparowanych żądań HTTP(S). Atakujący mogą wykorzystać nieprawidłowe obsługiwanie uwierzytelniania, aby uzyskać podwyższone uprawnienia i wykonać nieautoryzowane działania, w tym pobieranie lub przesyłanie konfiguracji oraz modyfikację oprogramowania układowego.

OneUptime przed wersją 10.0.42 umożliwia nieuwierzytelniony dostęp do punktów końcowych testowania powiadomień i zarządzania numerami telefonów, co pozwala na nadużywanie SMS-ów, połączeń, e-maili i WhatsApp oraz zakup numerów telefonów.

Fireshare, narzędzie do samodzielnego hostowania mediów i udostępniania linków, w wersjach przed 1.5.3 zawiera podatność w nieuwierzytelnionym endpointcie /api/uploadChunked/public. Poprawka dla CVE-2026-33645 została zastosowana tylko dla uwierzytelnionego endpointu, ale nie dla publicznego. Niezautoryzowany atakujący może wykorzystać parametr checkSum do zapisu dowolnych plików o dowolnej treści w dowolnej ścieżce zapisywalnej na serwerze. Problem naprawiono w wersji 1.5.3.

OpenProject przed wersją 17.2.3 zawiera podatność na wstrzykiwanie SQL w operatorze =n w pliku modules/reporting/lib/report/operator.rb:177. Operator ten osadza dane wejściowe użytkownika bezpośrednio w klauzulach WHERE SQL bez parametryzacji.

Podatność w bibliotece Mbed TLS (wersje 2.19.0 do 3.6.5 oraz 4.0.0) wynika z niedostatecznej ochrony serializowanych struktur SSL. Osoba atakująca może modyfikować te struktury, powodując uszkodzenie pamięci i potencjalnie wykonanie dowolnego kodu.

Signal K Server przed wersją 2.24.0-beta.4 zawiera podatność eskalacji uprawnień przez wstrzyknięcie roli administratora w endpoint /enableSecurity. Nieuwierzytelniony atakujący może uzyskać pełny dostęp administracyjny.

Percona PMM przed wersją 3.7 zawiera podatność, w której wewnętrzny użytkownik bazy danych zachowuje nadmierne uprawnienia superużytkownika. Atakujący z uprawnieniami pmm-admin może nadużyć funkcji "Add data source", aby opuścić kontekst bazy danych i wykonać polecenia powłoki w systemie operacyjnym.

Convoy to panel zarządzania serwerami KVM dla firm hostingowych. Od wersji 3.9.0-beta do przed 4.5.1 metoda JWTService::decode() nie weryfikowała podpisu kryptograficznego tokenów JWT. Mimo że metoda konfigurowała symetryczny podpis HMAC-SHA256 za pomocą lcobucci/jwt, walidowała tylko roszczenia czasowe (exp, nbf, iat) przy użyciu ograniczenia StrictValidAt. Ograniczenie SignedWith nie zostało uwzględnione w walidacji. Oznacza to, że atakujący może sfałszować lub zmodyfikować ładunek tokena JWT – na przykład zmieniając roszczenie user_uuid – a token zostanie zaakceptowany jako ważny, o ile spełnione są roszczenia czasowe. Ma to bezpośredni wpływ na przepływ uwierzytelniania SSO (LoginController::authorizeToken), umożliwiając atakującemu uwierzytelnienie jako dowolny użytkownik poprzez stworzenie tokena z dowolnym user_uuid. Problem został naprawiony w wersji 4.5.1.

Agno w wersjach przed 2.3.24 zawiera podatność na wykonanie dowolnego kodu w komponencie wykonawczym modelu, która pozwala atakującym na wykonanie dowolnego kodu Python poprzez manipulację parametrem field_type przekazywanym do eval(). Atakujący mogą wpłynąć na wartość field_type w FunctionCall, aby osiągnąć zdalne wykonanie kodu.

W FastMCP w wersji przed 3.2.0, w klasie RequestDirector w metodzie _build_url() brakuje kodowania URL parametrów ścieżki. Pozwala to atakującemu na wstrzyknięcie sekwencji ../ i wykonanie ataku typu path traversal, co umożliwia dostęp do dowolnych wewnętrznych punktów końcowych.