Katalog podatności CVE

Alerta w wersjach przed 9.1.0 zawiera podatność na wstrzykiwanie SQL w interfejsie wyszukiwania API (parametr q=). Zapytanie budowane jest przez bezpośrednie interpolowanie danych od użytkownika do łańcuchów SQL za pomocą f-stringów, co pozwala na manipulację zapytaniem.

Protokół komunikacyjny MAVLink domyślnie nie wymaga uwierzytelniania kryptograficznego. Gdy podpisywanie wiadomości MAVLink 2.0 nie jest włączone, każda wiadomość, w tym SERIAL_CONTROL zapewniający dostęp do interaktywnej powłoki, może zostać wysłana przez nieuwierzytelnioną stronę mającą dostęp do interfejsu MAVLink. PX4 oferuje podpisywanie wiadomości jako mechanizm uwierzytelniania kryptograficznego, a gdy jest włączone, niepodpisane wiadomości są odrzucane na poziomie protokołu.

Zora: Post, Trade, Earn Crypto w wersji v2.60.0 zawiera podatność na nadpisywanie dowolnych plików podczas procesu importu plików. Atakujący może nadpisać krytyczne pliki wewnętrzne, co może prowadzić do zdalnego wykonania kodu lub ujawnienia informacji.

Monitor widma MS27102A Remote Spectrum Monitor jest podatny na obejście uwierzytelniania, co pozwala nieautoryzowanym użytkownikom na dostęp i manipulację interfejsem zarządzania. Urządzenie nie zapewnia mechanizmu włączania lub konfigurowania uwierzytelniania, więc problem wynika z jego konstrukcji.

Funambol Zefiro Cloud w wersji v32.0.2026011614 zawiera podatność na nadpisywanie dowolnych plików podczas procesu importu plików. Atakujący może nadpisać krytyczne pliki wewnętrzne, co może prowadzić do zdalnego wykonania kodu lub ujawnienia informacji.

Aplikacja NIS Animal Sounds and Ringtones w wersji 1.3.0 od PEAKSEL D.O.O. zawiera podatność na nadpisywanie dowolnych plików podczas procesu importu plików. Atakujący może nadpisać krytyczne pliki wewnętrzne aplikacji.

Podatność na nadpisywanie dowolnych plików w Cast to TV Screen Mirroring v2.2.77 umożliwia atakującym nadpisywanie krytycznych plików wewnętrznych poprzez proces importu plików, co może prowadzić do wykonania dowolnego kodu lub ujawnienia informacji.

W aplikacji FLY is FUN Aviation Navigation v35.33 występuje podatność na nadpisywanie dowolnych plików podczas importu plików. Atakujący może nadpisać krytyczne pliki wewnętrzne, co prowadzi do wykonania dowolnego kodu lub ujawnienia informacji.

HAPI FHIR to pełna implementacja standardu HL7 FHIR dla interoperacyjności opieki zdrowotnej w Javie. Przed wersją 6.9.4 usługa HTTP FHIR Validator udostępnia nieuwierzytelniony punkt końcowy "/loadIG", który wykonuje wychodzące żądania HTTP do adresów URL kontrolowanych przez atakującego. W połączeniu z wadą dopasowania prefiksu startsWith() w dostawcy poświadczeń (ManagedWebAccessUtils.getServer()), atakujący może ukraść tokeny uwierzytelniające (Bearer, Basic, klucze API) skonfigurowane dla legalnych serwerów FHIR, rejestrując domenę, której prefiks pasuje do skonfigurowanego adresu URL serwera. Problem został naprawiony w wersji 6.9.4.

Narzędzie wenxian w wersjach 0.3.1 i wcześniejszych zawiera podatność na wstrzyknięcie komend w przepływie pracy GitHub Actions. Niezaufane dane wejściowe z issue_comment.body są używane bezpośrednio w komendzie powłoki, co umożliwia potencjalne wykonanie dowolnego kodu na runnerze. W chwili publikacji nie są dostępne żadne publiczne łatki.

PJSIP przed wersją 2.17 zawiera podatność odczytu poza zakresem sterty w dekompresorze VP9 RTP. Niewystarczające sprawdzanie granic długości deskryptora ładunku może prowadzić do odczytu poza przydzielonym buforem RTP.

MikroORM przed wersjami 6.6.10 i 7.0.6 zawiera podatność na zanieczyszczenie prototypu w funkcji pomocniczej Utils.merge używanej wewnętrznie podczas scalania struktur obiektów. Funkcja nie zapobiega użyciu specjalnych kluczy, takich jak __proto__, constructor czy prototype, co pozwala na modyfikację prototypu obiektu JavaScript przez kontrolowane przez atakującego dane wejściowe.

MikroORM, TypeScript ORM dla Node.js, zawiera podatność na wstrzykiwanie SQL w wersjach przed 6.6.10 i 7.0.6. Specjalnie spreparowane obiekty są interpretowane jako surowe fragmenty zapytań SQL.

Podatność na nadpisywanie dowolnych plików w MaruNuri LLC v2.0.23 pozwala atakującym nadpisać krytyczne pliki wewnętrzne poprzez proces importu plików, co prowadzi do zdalnego wykonania kodu lub ujawnienia informacji.

Podatność na nadpisywanie dowolnych plików w DeftPDF Document Translator v54.0 pozwala atakującym nadpisać krytyczne pliki wewnętrzne poprzez proces importu plików, co prowadzi do zdalnego wykonania kodu lub ujawnienia informacji.

Parse Server przed wersjami 8.6.67 i 9.7.0-alpha.11 zawiera podatność, w której atakujący może ominąć kontrolę dostępu walidatora Cloud Function, dodając "prototype.constructor" do nazwy funkcji w URL. Powoduje to pominięcie całej kontroli dostępu, umożliwiając nieuwierzytelnionym wywołanie funkcji chronionych walidatorami.

FastGPT przed wersją 4.14.9.5 udostępnia endpoint /api/core/app/httpTools/runTool bez uwierzytelnienia. Działa on jako pełne proxy HTTP, umożliwiając atakującemu wykonywanie dowolnych żądań HTTP z serwera.

OpenClaw przed wersją 2026.3.28 zawiera podatność na eskalację uprawnień w ścieżce komendy /pair approve. Brakuje w niej przekazywania zakresów wywołującego do głównego sprawdzenia zatwierdzenia. Osoba z uprawnieniami do parowania, ale bez uprawnień administracyjnych, może zatwierdzić oczekujące żądania urządzeń, które żądają szerszych zakresów, w tym dostępu administracyjnego, wykorzystując brak walidacji zakresów w plikach extensions/device-pair/index.ts i src/infra/device-pairing.ts.

Moduł automatycznej akceptacji poleceń w Ridvay Code zawiera krytyczną podatność na wstrzykiwanie poleceń systemowych, co czyni mechanizm białej listy całkowicie nieskutecznym. Wykorzystuje on słabe wyrażenia regularne do analizy struktur poleceń, co pozwala atakującemu na wstrzyknięcie złośliwego kodu.

Moduł automatycznej akceptacji poleceń DSAI-Cline zawiera krytyczną podatność na wstrzykiwanie poleceń systemowych, która całkowicie unieważnia mechanizm bezpieczeństwa oparty na białej liście. System nieprawidłowo przetwarza znaki nowej linii, co pozwala atakującemu na wstrzyknięcie złośliwego kodu w ramach dozwolonego polecenia.