Katalog podatności CVE

Lodash w wersjach 4.17.23 i wcześniejszych jest podatny na prototype pollution w funkcjach _.unset i _.omit. Poprawka dla CVE-2025-13465 chroniła tylko przed atakami z użyciem kluczy string, ale atakujący może ominąć zabezpieczenie, używając ścieżek w postaci tablicy. Pozwala to na usunięcie właściwości z wbudowanych prototypów, takich jak Object.prototype.

W SourceCodester Loan Management System v1.0 występuje luka w logice biznesowej z powodu braku walidacji po stronie serwera. Uwierzytelniony atakujący może ominąć ograniczenia interfejsu i przesłać ujemną wartość dla pola interest_percentage, tworząc plany pożyczek z ujemnym oprocentowaniem.

Simple Gym Management System 1.0 jest podatny na ataki SQL Injection w komponencie Payment Handler. Parametry Payment_id, Amount, customer_id, payment_type i customer_name są podatne na manipulację.

W Discourse stwierdzono obejście autoryzacji w kontrolerze Category Chatables, które pozwala moderatorom uzyskać informacje o ukrytych grupach i liczbie użytkowników.

Discourse ma lukę w endpointzie testowym ustawień e-mail grupy, który umożliwia inicjowanie połączeń wychodzących do dowolnych hostów i portów. Endpoint był dostępny dla właścicieli grup niebędących personelem.

Discourse w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0 umożliwia użytkownikowi zakup subskrypcji niższego poziomu, ale uzyskanie korzyści przypisanych do wyższego poziomu subskrypcji.

Discourse z wtyczką discourse-subscriptions w wersjach od 2026.1.0 do 2026.1.3, od 2026.2.0 do 2026.2.2 oraz od 2026.3.0 do 2026.3.0 ujawnia klucze API Stripe między witrynami w klastrze wielostanowiskowym. Może to prowadzić do wycieku informacji związanych ze Stripe między witrynami w tym samym klastrze.

Discourse pozwala uwierzytelnionemu użytkownikowi na uzyskanie tytułów tematów z kategorii współdzielonych szkiców poprzez wysłanie żądania inline onebox z odpowiednim category_id.

Discourse umożliwia użytkownikom niebędącym personelem dostęp do informacji o potwierdzeniach przeczytania postów przeznaczonych tylko dla personelu. Ujawniane są metadane (kto i kiedy przeczytał), ale nie treść posta.

Discourse w wersjach przed 2026.1.3, 2026.2.2 i 2026.3.0 pozwala użytkownikom, którzy utracili dostęp do tematu (np. usunięci z grupy prywatnej), na interakcję z ankietami w tym temacie, w tym głosowanie i zmianę statusu ankiety.

Discourse umożliwia wnioskowanie o członkostwie w kanałach czatu poprzez wyszukiwanie użytkowników bez odpowiedniej autoryzacji.

W platformie dyskusyjnej Discourse w wersjach od 2026.1.0-latest do przed 2026.1.3, od 2026.2.0-latest do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0 moderatorzy grup kategorii mogli wykonywać uprzywilejowane działania na tematach w prywatnych kategoriach, do których nie mieli dostępu do odczytu. Podatność została załatana w wersjach 2026.1.3, 2026.2.2 i 2026.3.0.

W Discourse, gdy włączona jest opcja ukryta 'prioritize_full_name_in_ux', nazwy wyświetlane użytkowników i grup są renderowane bez kodowania HTML w kilku ścieżkach UI związanych z przypisaniami. Umożliwia to użytkownikom z uprawnieniami assign wstrzyknięcie dowolnego HTML/JavaScript, który wykonuje się w przeglądarce każdego użytkownika przeglądającego dotknięty temat.

W Discourse aktualizacja opisu kategorii przez API nie oczyszczała łańcucha opisu, co może prowadzić do ataków XSS. Podatność występuje w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0 do przed 2026.3.0.

W Discourse osoba atakująca z możliwością tworzenia współdzielonych konwersacji AI może wstrzyknąć dowolny HTML i JavaScript poprzez spreparowane tytuły konwersacji. Ładunek wykonuje się w przeglądarce każdego użytkownika przeglądającego podgląd onebox, co może prowadzić do przejęcia sesji lub nieautoryzowanych działań w imieniu ofiary.

W Discourse moderatorzy mogą eksportować dane CSV z raportów zastrzeżonych dla administratorów, omijając ograniczenia widoczności raportów. Może to ujawnić wrażliwe dane operacyjne.

Discourse ma lukę w akcji enter w StaticController, która odczytuje ciasteczko sso_destination_url i przekierowuje do niego z allow_other_host: true bez walidacji docelowego URL. Ciasteczka są kontrolowane przez klienta i mogą być ustawione przez atakującego.

W SourceCodester Loan Management System v1.0 występuje podatność na ślepe wstrzyknięcie SQL w pliku ajax.php w akcji save_loan. Parametr borrower_id nie jest odpowiednio oczyszczany, co pozwala uwierzytelnionemu atakującemu na wstrzyknięcie złośliwych poleceń SQL.

W chatwoot do wersji 4.11.2 funkcja Webhooks::Trigger w bibliotece lib/webhooks/trigger.rb nie waliduje argumentu url, co prowadzi do podatności na fałszowanie żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

HAPI FHIR przed wersją 6.9.4 zawiera endpoint /loadIG w usłudze FHIR Validator HTTP, który akceptuje adres URL podany przez użytkownika w treści JSON i wykonuje żądania HTTP po stronie serwera bez walidacji nazwy hosta, schematu lub domeny. Nieuwierzytelniony atakujący z dostępem sieciowym do walidatora może badać wewnętrzne usługi sieciowe, punkty końcowe metadanych chmury i mapować topologię sieci poprzez wyciek informacji oparty na błędach.