Katalog podatności CVE

HTMLy 3.1.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji importowania kanałów RSS. Funkcja get_feed() w pliku system/admin/admin.php przekazuje dostarczony przez użytkownika adres URL bezpośrednio do funkcji file_get_contents() bez żadnej walidacji. Uwierzytelniony atakujący z uprawnieniami administratora może wykorzystać tę podatność, wprowadzając spreparowany adres URL (np. http://dnslog.example.com, file:///etc/passwd lub http://169.254.169.254 w kontekście chmurowym) poprzez narzędzia -> Importuj RSS. Serwer następnie wysyła żądanie do kontrolowanego przez atakującego celu.

W JetBrains YouTrack przed wersją 2026.2.16593 mostek websandbox był podatny na atak typu prototype pollution. Podatność ta może pozwolić atakującemu na manipulację prototypem obiektów w środowisku wykonawczym.

W JetBrains YouTrack przed wersją 2026.2.16593 odkryto podatność umożliwiającą ujawnienie ustawień projektu poprzez protokół MCP. Luka ta pozwala nieautoryzowanym użytkownikom na dostęp do wrażliwych konfiguracji projektów.

Podatność w API uprawnień Node.js umożliwia uruchomienie lokalnego serwera przez gniazdo domeny Unix, nawet bez wymaganego uprawnienia `--allow-net`. Problem dotyczy linii wydania Node.js 26.

Podatność w API uprawnień Node.js umożliwia modyfikację metadanych pliku nawet na ścieżce ustawionej jako tylko do odczytu za pomocą flagi `--allow-fs-read`. Problem dotyczy wszystkich wspieranych linii wydań: Node.js 22, Node.js 24 oraz Node.js 26.

W KubeVirt znaleziono lukę w serwerze downward metrics virtio-serial. Serwer odczytuje żądania gościa za pomocą textproto.Reader.ReadLine(), który buforuje dane bez ograniczenia długości lub limitu czasu, dopóki nie otrzyma znaku nowej linii. Użytkownik mający dostęp do maszyny wirtualnej z skonfigurowanym urządzeniem downward metrics virtio-serial może wysłać ciągły strumień bajtów, powodując nieograniczone przydzielanie pamięci w procesie virt-handler, aż do jego zabicia przez OOM.

Podatność w Bitwarden Server przed wersją 2026.5.0 umożliwia wstrzykiwanie JSON przez funkcję IntegrationTemplateProcessor.ReplaceTokens(), która podstawia wartości kontrolowane przez użytkownika do szablonów integracji zdarzeń bez kodowania JSON. Uwierzytelniony członek organizacji może ustawić swoją nazwę wyświetlaną na metaznaki JSON i wstrzyknąć dowolne pary klucz-wartość do przetwarzanych danych wysyłanych do webhooków, SIEM, Slack, Teams lub Datadog.

Podczas tworzenia pokoju (room) nieprawidłowo sprawdzano uprawnienia, co pozwala atakującym na tworzenie pokojów typów, do których nie powinni mieć dostępu.

Użytkownik Joomla z uprawnieniami K2 do tworzenia elementów (domyślnie rola Autora) może przesłać artykuł, w którym pole POST `embedVideo` zawiera surowy znacznik `<script>`. K2 przechowuje go dosłownie i wyświetla bez kodowania każdemu odwiedzającemu stronę artykułu.

Podatność SQL injection w Nessus umożliwia atakującemu stworzenie złośliwego pliku wyników skanowania, który po zaimportowaniu przez uprzywilejowanego użytkownika wstrzykuje złośliwy kod SQL do bazy danych wyników skanowania, potencjalnie umożliwiając wyciek danych tych wyników.

Podatność umożliwia wstrzyknięcie treści HTML, w tym znaczników <img>, do kontekstów renderowania PDF. Jeśli atrybut src takiego obrazu wskazuje na adres URL, silnik renderujący PDF pobiera obraz z tego miejsca i wyświetla go, co prowadzi do wycieku informacji o serwerze renderującym oraz potencjalnie stwarza wektor SSRF w sieci lokalnej.

Wtyczka pretix-pages umożliwia wstrzyknięcie złośliwego kodu HTML do treści strony. Atakujący może wykorzystać tę podatność do umieszczenia niebezpiecznych treści na stronie.

Podatność umożliwia wstrzyknięcie złośliwego kodu HTML na stronę wyświetlaną przez pretix podczas przekierowania do niezaufanej lokalizacji. Ze względu na zastosowaną politykę bezpieczeństwa treści (CSP), atak może być wykorzystany głównie do celów phishingowych.

Podatność w bibliotece Nokogiri dla języka Ruby dotyczy nieprawidłowego egzekwowania opcji NONET w implementacji JRuby. Opcja ta, domyślnie włączona dla Nokogiri::XML::Schema (zgodnie z CVE-2020-26247), nie zapobiegała pobieraniu zasobów zewnętrznych przez sieć podczas parsowania schematu, co mogło prowadzić do ataków SSRF lub XXE. Problem został naprawiony w wersji 1.19.4.

Wtyczka pretix-digital jest podatna na wstrzykiwanie złośliwego kodu HTML do renderowanej treści. Atakujący może wykorzystać tę lukę do osadzenia dowolnego kodu HTML, co może prowadzić do ataków typu cross-site scripting (XSS).

Podatność w Devolutions Server w wersjach 2026.2.4.0 do 2026.2.7.0 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem UserGroupsView wymuszenie uwierzytelnienia po stronie serwera na kontrolowanym przez atakującego hoście. Poprzez spreparowany parametr DomainName w punktach końcowych wykrywania PAM AD, atakujący może przechwycić dane uwierzytelniające dostawcy PAM w postaci odpowiedzi wyzwania NTLMv2.

Podatność pozwala atakującemu na wysłanie spreparowanego rekordu EDNS OPT, który zostanie zignorowany przez reguły filtrowania DNSdist, ale po wstawieniu EDNS Client Subnet zostanie przepisany jako prawidłowy rekord OPT, przez co backend zobaczy opcje EDNS, które DNSdist nie przefiltrował.

Atakujący może opóźnić przetwarzanie zapytań DoH3, wysyłając zapytania GET DoH3 z nieprawidłową ramką DATA.

Atakujący wysyłający dużą liczbę spreparowanych zapytań DNS może spowodować wstawienie dynamicznego bloku z wartością, która generuje nieprawidłowe dane w punkcie końcowym Prometheus. Punkt końcowy Prometheus będzie następnie odrzucany przez scraper aż do wygaśnięcia dynamicznego bloku.

Podatność w Apache Shiro polega na braku weryfikacji wieku ciasteczka 'Remember me' po stronie serwera. Umożliwia to atakującemu przechwycenie ważnego ciasteczka i jego nieograniczone ponowne wykorzystanie, nawet po upływie skonfigurowanego czasu wygaśnięcia. Problem dotyczy wersji od 1.2.4 do 2.x oraz 3.0.0-alpha-1, gdy włączona jest funkcja RememberMe.