Katalog podatności CVE

NVIDIA Jetson Linux zawiera podatność w initrd, gdzie zaufana aplikacja nvluks nie jest wyłączona. Wykorzystanie tej luki może prowadzić do ujawnienia informacji.

W CMS Made Simple do wersji 2.2.22 stwierdzono podatność w funkcji _copyFilesToFolder w komponencie UserGuide Module XML Import. Manipulacja prowadzi do path traversal, co umożliwia zdalny atak. Exploit jest publicznie dostępny, a projekt potwierdził, że podatność została już odkryta i naprawiona w kolejnym wydaniu.

W Search Guard FLX od wersji 1.0.0 do 4.0.1 stwierdzono podatność, w której funkcja audytu logowania może rejestrować dane uwierzytelniające użytkowników logujących się do Kibany.

Search Guard FLX w wersjach od 3.0.0 do 4.0.1 umożliwia użytkownikom bez odpowiednich uprawnień wykonywanie operacji zarządzania na strumieniach danych.

W Parse Server przed wersjami 8.6.70 i 9.7.0-alpha.18 uwierzytelniony użytkownik z uprawnieniami find na poziomie klasy może ominąć ustawienie protectedFields w subskrypcjach LiveQuery. Wysyłając subskrypcję z operatorem $or, $and lub $nor jako obiekt podobny do tablicy, ochrona jest pomijana, co pozwala na odczytanie chronionych pól.

Parse Server przed wersjami 8.6.69 i 9.7.0-alpha.14 pozwala uwierzytelnionemu użytkownikowi na ominięcie ochrony niezmienności pól sesji (expiresAt, createdWith) poprzez wysłanie wartości null w żądaniu PUT do punktu końcowego aktualizacji sesji. Umożliwia to unieważnienie wygaśnięcia sesji, czyniąc ją ważną bezterminowo i omijając skonfigurowane zasady długości sesji.

MCP Java SDK przed wersjami 0.83.0, 1.0.1 i 1.1.1 zawiera zakodowaną na stałe podatność CORS z użyciem wildcarda. Pozwala to na dostęp do zasobów z dowolnego źródła.

W pakiecie Slippers dla Django, tag szablonu {% attrs %} nie koduje danych wyjściowych, co prowadzi do podatności XSS. Atakujący może wstrzyknąć dowolny HTML lub JavaScript poprzez zmienną kontekstową.

W libp2p-rust przed wersją 0.49.4 implementacja Gossipsub zawiera zdalnie osiągalny błąd paniki w obsłudze wygaśnięcia backoff. Po otrzymaniu spreparowanej wiadomości PRUNE z wartością backoff bliską maksymalnej, implementacja wykonuje niekontrolowane dodawanie czasu, co prowadzi do przepełnienia i paniki.

ClearanceKit ma defekt uruchomieniowy, który powoduje, że tylko reguły skompilowane są egzekwowane do czasu interakcji użytkownika z GUI. Reguły MDM i zdefiniowane przez użytkownika nie są stosowane.

Nieprawidłowa konfiguracja startowa Zscaler Client Connector na Windows może w rzadkich przypadkach spowodować, że ograniczona ilość ruchu nie będzie inspekcjonowana.

Search Guard FLX do wersji 4.0.1 umożliwia przekierowanie użytkownika na niezaufany URL za pomocą specjalnie spreparowanych żądań.

Parse Server przed wersjami 8.6.65 i 9.7.0-alpha.9 ma lukę w LiveQuery. Gdy wielu klientów subskrybuje tę samą klasę, współdzielone obiekty modyfikowane przez filtry danych wrażliwych mogą powodować wyciek chronionych pól lub danych uwierzytelniających do nieuprawnionych klientów. Ponadto modyfikacje z triggera afterEvent Cloud Code mogą wyciekać do innych subskrybentów.

W Parse Server przed wersjami 8.6.64 i 9.7.0-alpha.8, atakujący posiadający ważny token dostawcy uwierzytelniania oraz jeden kod odzyskiwania MFA lub jednorazowe hasło SMS może utworzyć wiele uwierzytelnionych sesji poprzez wysyłanie równoczesnych żądań logowania do endpointu authData. Obejmuje to gwarancję jednorazowości kodów MFA, umożliwiając utrzymanie sesji nawet po odwołaniu wykrytych sesji przez uprawnionego użytkownika.

W bibliotece go-git (implementacja gita w czystym Go) w wersjach od 5.0.0 do przed 5.17.1 złośliwie spreparowany plik .idx może powodować asymetryczne zużycie pamięci, prowadząc do wyczerpania dostępnej pamięci i warunku odmowy usługi (DoS). Eksploatacja wymaga zapisu do katalogu .git lokalnego repozytorium w celu utworzenia lub zmodyfikowania plików .idx. Podatność została załatana w wersji 5.17.1.

OpenClaw przed wersją 2026.3.24 zawiera podatność na ominięcie piaskownicy (sandbox bypass) w narzędziu wiadomości, która pozwala atakującym na odczyt dowolnych lokalnych plików poprzez użycie parametrów aliasów mediaUrl i fileUrl, które omijają walidację localRoots. Zdalni atakujący mogą wykorzystać tę podatność, kierując żądania plików przez niezweryfikowane parametry aliasów, aby uzyskać dostęp do plików poza zamierzonym katalogiem piaskownicy.

OpenClaw przed wersją 2026.3.28 zawiera brak ograniczenia szybkości w uwierzytelnianiu webhooków Nextcloud Talk. Atakujący mogą brute-force'ować słabe współdzielone sekrety, aby sfałszować zdarzenia webhooka.

OpenClaw przed 2026.3.28 zawiera podatność w rozszerzeniach Google Chat i Zalouser, gdzie polityki allowlist na poziomie grupy są wyciszane do otwartej polityki. Atakujący może ominąć ograniczenia nadawcy i wchodzić w interakcje z botami.

OpenClaw przed wersją 2026.3.28 pobiera i zapisuje przychodzące multimedia z kanałów Zalo przed weryfikacją autoryzacji nadawcy. Nieautoryzowani nadawcy mogą wymusić pobieranie sieciowe i zapis na dysku do magazynu multimediów, wysyłając wiadomości, które są następnie odrzucane.

Checkmk w wersji 2.5.0 (beta) przed 2.5.0b2 zawiera podatność na trwały XSS. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia hostów lub usług mogą wstrzyknąć dowolny JavaScript, który jest wykonywany w przeglądarkach innych użytkowników podczas wyszukiwania w Unified Search.