Katalog podatności CVE

Turnpress w wersji do 0.4.2 zawiera podatność na wstrzyknięcie poleceń systemowych. Funkcja convertDocxToHtml w src/converter.ts wywołuje pandoc przez execa z opcją shell:true, co pozwala na wykonanie poleceń powłoki poprzez specjalne znaki w nazwie pliku .docx.

Beganovich snappdf w wersjach od 1.1.0 do 6.1.0 zawiera podatność na wstrzyknięcie poleceń systemowych w systemie Windows. Atakujący mogą wpływać na renderowany URL i dostarczać metaznaki cmd.exe, takie jak &, które są przekazywane bez escapowania do PHP exec().

xhtml2pdf w wersjach przed 0.2.19 zawiera podatność na wstrzyknięcie poleceń systemowych w funkcji pisa.startViewer(). Atakujący mogą dostarczyć plik wejściowy, którego nazwa zawiera cudzysłów i metaznaki powłoki, co prowadzi do wykonania poleceń OS podczas używania narzędzia pisa z opcją -s/--start-viewer.

@runnerty/executor-decompress w wersjach do 3.1.1 zawiera podatność na wstrzyknięcie poleceń systemowych. Atakujący mogą dostarczyć spreparowane nazwy plików archiwów do compress_file, wstrzykując podstawienia $() lub niecytowane metaznaki powłoki do wywołań shelljs exec().

buildebooks w wersjach przed 0.2.2 zawiera podatność na wstrzyknięcie poleceń systemowych w lib/kindle.js. Atakujący mogą dostarczyć spreparowaną nazwę pliku EPUB przekazywaną do kindlegen przez child_process.exec, co pozwala na wykonanie poleceń OS z uprawnieniami użytkownika uruchamiającego buildebooks.

MyReport Updater w wersjach do 2.1.1 zawiera podatność na lokalne podniesienie uprawnień. Użytkownicy o niskich uprawnieniach mogą zmusić usługę SYSTEM do instalacji dostarczonych przez atakującego archiwów w dowolnych katalogach, co pozwala na zdobycie uprawnień SYSTEM.

Report One MyReport Updater w wersjach do 2.1.1 udostępnia nieuwierzytelnioną usługę gRPC na porcie TCP 9095. Zdalni atakujący mogą przekierować aktualizator SYSTEM, wywołując metodę UpdateConfigReferent i wskazując złośliwy serwer referencyjny.

Kan w wersjach od 0.5.5 do 0.6.0 zawiera nieuwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w trasie /api/download/attatchment. Gdy S3_ENDPOINT nie jest ustawiony, atakujący mogą przekazywać dowolne parametry url do fetch(), aby uzyskać dostęp do usług wewnętrznych, portów localhost i metadanych instancji w chmurze.

Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji w API współdzielonych węzłów. Uwierzytelnieni użytkownicy mogą udostępniać dokumenty innych użytkowników, podając dowolne identyfikatory UUID węzłów, a następnie je czytać, modyfikować lub usuwać.

Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom manipulować stronami innych użytkowników, ponieważ punkty końcowe zarządzania stronami i OCR pomijają sprawdzanie has_node_perm. Atakujący znający identyfikatory UUID stron mogą je obracać, usuwać lub wyodrębniać oraz wywoływać OCR.

Swetrix Cloud w wersji przed 5.1.0 zawiera lukę braku autoryzacji w metodzie ProjectController.addProject, która pozwala uwierzytelnionym użytkownikom przejąć dowolne projekty, przenosząc je do własnej organizacji. Atakujący może utworzyć organizację i dodać projekt ofiary po jego publicznym identyfikatorze śledzenia, aby czytać analitykę, zmieniać ustawienia lub go usunąć.

SmsForwarder w wersji do 3.5.0 zawiera lukę braku uwierzytelniania w serwerze HTTP AndServer, która pozwala nieuwierzytelnionym atakującym sieciowym wywoływać API zdalnego sterowania. Atakujący mogą wywołać domyślnie włączone endpointy, aby czytać SMS-y, rejestry połączeń i kontakty, wysyłać SMS-y oraz eksportować lub nadpisywać konfigurację przez API clone.

NullHub w wersji do 2026.5.29 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać dostęp do API zarządzania /api/*, ponieważ pole auth_token domyślnie ma wartość null i nigdy nie jest przypisywane. Atakujący wysyłający żądania bez nagłówków Authorization lub Origin do nasłuchów innych niż loopback mogą kontrolować instancje agentów, przepisywać konfiguracje, w tym poświadczenia dostawców, oraz zarządzać zadaniami cron i serwerami MCP.

jshERP w wersji do 3.6 zawiera lukę braku autoryzacji w endpointcie POST /user/batchSetStatus, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach zmieniać status kont innych użytkowników. Atakujący mogą przesłać spreparowane identyfikatory i wartości statusu, aby wyłączyć wszystkie konta niebędące właścicielem w swoim tenancie, blokując administratorów, lub ponownie włączyć wyłączone konta.

L-SMASH w wersji do 2.14.5 zawiera lukę podwójnego zwolnienia w funkcjach hevc_setup_first_summary() i h264_setup_first_summary() w pliku importer/nalu_imp.c, które zwalniają pożyczone obiekty specyficzne dla kodeka na ścieżkach błędów. Atakujący mogą dostarczyć spreparowany strumień elementarny Annex-B bez możliwego do sparsowania SPS do lsmash_read_file() lub narzędzi boxdumper, remuxer albo muxer, powodując use-after-free, uszkodzenie sterty i awarie.

NGINX Ingress Controller zawiera lukę przy implementacji polityki externalAuth dla ingress. Kontroler może nieprawidłowo obsłużyć odpowiedź HTTP od dostawcy tożsamości OAuth i pozwolić atakującemu uzyskać nieuwierzytelniony dostęp do chronionych ścieżek przed prawidłowym uwierzytelnieniem zewnętrznym.

Angular to platforma do budowania aplikacji webowych; w wersjach przed 20.3.31, 21.2.23 i 22.1.6 parser emulacji DOM w @angular/platform-server może wejść w nieskończoną pętlę synchroniczną, gdy renderowanie po stronie serwera przetwarza kontrolowany przez atakującego HTML zawierający niekompletny DOCTYPE kończący się białym znakiem na końcu danych. W Domino lib/HTMLParser.js stan after_doctype_name_state emituje tokeny doctype i EOF bez przesuwania nextchar, przez co skaner wielokrotnie przetwarza ten sam znacznik EOF. Zdalny nieuwierzytelniony atakujący może wykorzystać ten warunek przez ścieżki parsowania HTML po stronie serwera, takie jak wiązanie innerHTML, aby zużyć pełne CPU workera SSR Node.js, zagłodzić pętlę zdarzeń i zatrzymać równoczesne oraz kolejne żądania. Problem naprawiono w wersjach 20.3.31, 21.2.23 i 22.1.6.

Kaneo w wersji przed 2.1.6 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom uzyskać dostęp do innych przestrzeni roboczych, podając identyfikatory projektów, zadań, etykiet lub przestrzeni roboczych do tras API pozbawionych kontroli członkostwa. Atakujący, którzy zdobędą identyfikatory, na przykład z udostępnionych linków do projektów, mogą czytać projekty i zadania, modyfikować lub usuwać zadania, etykiety i komentarze oraz przeszukiwać zawartość przestrzeni roboczej.

Gravitee API Management w wersji do 4.12.22 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym podszyć się pod dowolnego użytkownika poprzez sfałszowanie JWT podpisanych domyślnym, dostarczonym z produktem kluczem jwt.secret. Atakujący znający identyfikator istniejącego użytkownika może podpisać token HS256 z tym podmiotem i przedstawić go jako token bearer do Management API, podszywając się pod administratorów w celu uzyskania pełnej kontroli nad platformą.

DevIL w wersji do 1.8.0 zawiera przepełnienie bufora na stercie w funkcji iGetPalette() w pliku il_gif.cpp, które pozwala atakującym zapisywać poza buforem palety o rozmiarze 768 bajtów podczas ładowania obrazów GIF. Atakujący mogą dostarczyć spreparowany dwuklatkowy GIF, którego druga klatka używa metody disposal 1 z lokalną tabelą kolorów, zapisując do 384 kontrolowanych bajtów poza alokacją sterty i potencjalnie wykonując kod.