Katalog podatności CVE

Aplikacja Joyland AI domyślnie akceptuje nieprawidłowe certyfikaty SSL w niewidocznym WebView reklamowym. Może to pozwolić na ataki man-in-the-middle i przechwycenie danych przesyłanych w tym WebView.

Aplikacja Joyland AI wyraźnie zezwala na ruch HTTP w postaci czystego tekstu w systemie Android 9+, gdzie domyślnie jest on blokowany. Może to prowadzić do przechwycenia danych przesyłanych bez szyfrowania.

Aplikacja Joyland AI nie weryfikuje nazw hostów, co pozwala złośliwemu hostowi na połączenie się lub przechwycenie wiadomości czatu. Może to prowadzić do ataków man-in-the-middle i kradzieży danych.

Aplikacja Joyland AI akceptuje dowolne certyfikaty TLS z dowolnego serwera bez ich weryfikacji. Oznacza to, że połączenia sieciowe nie są bezpieczne i mogą być podsłuchiwane lub modyfikowane przez atakującego.

Aplikacja Joyland AI zawiera zakodowane na stałe poświadczenia do usługi powiadomień push GeTui, co pozwala atakującemu na dostęp do API GeTui i wysyłanie powiadomień push z dowolną treścią do dowolnego użytkownika, grupy użytkowników lub wszystkich użytkowników aplikacji jednocześnie.

Wdrożenie Wormhole.app przed 2026-08-22 ma nieprawidłową konfigurację serwera TURN coturn i nie ogranicza właściwie peerów TCP relay, co pozwala nieuwierzytelnionemu atakującemu na dostęp do metadanych instancji lub na nawiązywanie połączeń TCP z adresu IP relay Wormhole.

Podatność w Johnson Controls Easy IO FG przed wersją 2.0b52 dotyczy niewłaściwego zarządzania uprawnieniami, co umożliwia atak brute force. Oznacza to, że atakujący może wielokrotnie próbować odgadnąć hasła lub inne poświadczenia.

Podgrab zawiera podatność braku uwierzytelnienia, w której trasa WebSocket /ws jest zarejestrowana w głównym silniku gin zamiast w grupie routerów chronionej BasicAuth, co pozwala nieuwierzytelnionym klientom sieciowym na połączenie nawet przy skonfigurowanym haśle. Atakujący mogą dołączyć do zestawu allConnections, przechwycić transmisje PlayerExists zawierające identyfikatory graczy dostarczane przez klientów i odtworzyć je w wiadomości RegisterPlayer, aby przejąć kolejki payloadów przeznaczonych dla uwierzytelnionych użytkowników, ujawniając identyfikatory odcinków, tytuły i ścieżki plików po stronie serwera, a także potencjalnie zakłócając legalne odtwarzanie.

Kamery Tapo C120 v1 i C200 V5 zawierają podatność w funkcji skanowania HTTPS onboarding z powodu braku uwierzytelnienia. Po wstępnej konfiguracji nieuwierzytelniony atakujący w tej samej sieci lokalnej może wywołać akcję skanowania i pobrać metadane pobliskich punktów dostępowych, w tym SSID, BSSID, tryby uwierzytelniania i szyfrowania oraz informacje o sile sygnału.

Wada w rubygem-katello: RegistryProxiesController w Katello zawiera podatność obejścia autoryzacji z powodu braku przerwania wykonania w filtrze registry_authorize. Mimo że aplikacja identyfikuje nieautoryzowane żądania i wywołuje metodę unauthorized, nie zatrzymuje wykonania bieżącej ścieżki kodu (brak instrukcji return). To pozwala aplikacji przejść do dalszej logiki biznesowej i filtrów walidacji bazy danych, co ujawnia stan wewnętrzny poprzez zróżnicowane odpowiedzi, umożliwiając nieuprzywilejowanemu atakującemu enumerację prawidłowych użytkowników, organizacji i produktów w całej instancji.

Wada w rubygem-katello: podatność na iniekcję SQL w Red Hat Satellite Katello Registry Proxy. Aplikacja nie oczyszcza parametrów wejściowych używanych w zapytaniach do bazy danych w RegistryProxiesController. Metody check_blob_push_org_label i get_matching_products_from_org pobierają etykiety dostarczane przez użytkownika bezpośrednio ze ścieżki żądania i interpolują je do surowych fragmentów SQL. Ta wada jest dostępna dla użytkownika z uprawnieniem create_personal_access_tokens, nawet jeśli dostęp użytkownika jest ograniczony i nie ma przypisanej organizacji ani lokalizacji.

Wada w rubygem-hammer_cli: podatność na iniekcję poleceń w Hammer CLI i komponencie Railties (Ruby on Rails) dystrybuowanym z Satellite z powodu niebezpiecznej interpolacji zmiennej środowiskowej $EDITOR do metody system() w Ruby. Przekazując pojedynczy interpolowany ciąg do system(), aplikacja wywołuje powłokę systemową (/bin/sh), która interpretuje metaznaki powłoki (np. ;, |, &).

Wada w Foreman: narzędzie foreman-tail jest podatne na iniekcję poleceń systemu operacyjnego z powodu niebezpiecznego użycia polecenia eval. Skrypt przyjmuje argumenty dostarczone przez użytkownika i włącza je bezpośrednio do ciągu, który jest następnie wykonywany przez eval w celu rozwinięcia ścieżek plików. Ponieważ dane wejściowe nie są sanityzowane ani cytowane, lokalny atakujący może wstrzyknąć metaznaki powłoki (np. ;, &, |) w celu wykonania dowolnych poleceń systemowych.

W Keycloak znaleziono błąd w uwierzytelnianiu certyfikatów klienta X.509. Gdy włączone jest sprawdzanie punktów dystrybucji list CRL, serwer niepoprawnie weryfikuje ścieżki plików podane w certyfikacie klienta. Atakujący może dostarczyć specjalnie spreparowany certyfikat, który powoduje próbę odczytu wrażliwych plików z systemu lub przeciążenie pamięci przez ładowanie bardzo dużych plików, co może prowadzić do ujawnienia informacji lub awarii systemu.

Podatność równoważności ścieżek '/./' (katalog pojedynczej kropki) w module mod_userdir Apache HTTP Server, gdy skonfigurowano bezwzględną dyrektywę UserDir bez symboli wieloznacznych (druga forma w dokumentacji mod_userdir). Problem dotyczy Apache HTTP Server od wersji 2.4.0 do 2.4.68.

geopy to biblioteka geokodowania dla Pythona. Przed wersją 2.5.0, geopy.Point i Point.from_string() mogą zużywać nadmierną ilość czasu procesora z powodu nieefektywnego zachowania wyrażeń regularnych, gdy aplikacja przekazuje długi nieprawidłowy ciąg współrzędnych bez limitu 256 znaków zastosowanego w poprawce. Metody reverse geokodera również osiągają podatną ścieżkę parsowania, gdy są wywoływane z ciągami wejściowymi. Powtarzające się żądania kontrolowane przez atakującego mogą spowodować denial of service, podczas gdy numeryczny konstruktor Point nie jest dotknięty. Problem został naprawiony w wersji 2.5.0.

HCL BigFix Service Management jest dotknięty podatnością na ujawnienie informacji, ponieważ wystawiony endpoint API ujawnia wrażliwe wewnętrzne informacje z bazy danych. Informacje te mogą umożliwić atakującemu przeprowadzenie ukierunkowanych ataków na bazę danych.

W module mod_dav_fs serwera Apache HTTP Server przed wersją 2.4.69, wewnętrzne pliki stanu są dostępne dla zewnętrznych podmiotów. Zdalny klient może odczytać martwe właściwości WebDAV zasobów, których nie może modyfikować, wysyłając żądanie GET do katalogu stanu .DAV.

Wtyczka Prime Mover dla WordPressa przed wersją 2.2.1 zawiera podatność na przechowywany cross-site scripting, która pozwala atakującym na wykonanie dowolnego JavaScriptu poprzez wstrzyknięcie nieucieczonej wartości site_title w pliku footprint.json pakietu. Atakujący mogą umieścić spreparowany pakiet w katalogu prime-mover-export-files, aby złośliwa wartość renderowała się bez ucieczki w metodzie column_site_title() pliku PrimeMoverBackupMenuListTable.php, wywołując wykonanie skryptu w przeglądarce administratora podczas przeglądania listy pakietów Prime Mover bez konieczności przywracania pakietu.

Wtyczka Prime Mover dla WordPressa przed wersją 2.2.1 zawiera podatność na path traversal, która pozwala uwierzytelnionym administratorom na usuwanie dowolnych katalogów poprzez importowanie spreparowanego pakietu WPRIME/TAR z manipulowanymi wartościami tar_root_folder w pliku wprime-config.json. Atakujący mogą wykorzystać niewystarczającą walidację ścieżek w computeExtractVariables() i validateImportedSiteVsPackage(), aby spowodować, że primeMoverDoDelete() usunie katalogi poza zamierzoną ścieżką ekstrakcji, potencjalnie usuwając krytyczne katalogi WordPressa, takie jak wp-admin, i czyniąc witrynę nieoperacyjną.