Katalog podatności CVE

Moduł generacji multimodalnej SGLang jest podatny na zdalne wykonanie kodu bez uwierzytelnienia poprzez brokera ZMQ, który deserializuje nieufne dane za pomocą pickle.loads() bez autoryzacji.

Zgłoszono podatność związaną z użyciem twardo zakodowanego hasła w Hyper Data Protector. Zdalni atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu.

W Google Chrome przed wersją 146.0.7680.71 wystąpił błąd odczytu poza zakresem w funkcji Web Speech, który mógł pozwolić zdalnemu atakującemu na potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.

AdGuard Home to oprogramowanie do blokowania reklam i śledzenia w sieci. Przed wersją 0.107.73, nieautoryzowany atakujący mógł obejść wszelkie mechanizmy uwierzytelniania, wysyłając żądanie HTTP/1.1, które prosiło o aktualizację do HTTP/2 w czystym tekście (h2c). Po zaakceptowaniu aktualizacji, połączenie HTTP/2 było obsługiwane bez żadnego middleware'u uwierzytelniającego.

2FAuth to aplikacja webowa do zarządzania kontami dwuetapowej autoryzacji (2FA) i generowania kodów bezpieczeństwa. W wersjach przed 6.1.0 występuje podatność typu blind SSRF, która pozwala uwierzytelnionym użytkownikom na wykonywanie dowolnych żądań HTTP z serwera do wewnętrznych sieci i punktów końcowych metadanych w chmurze.

Winter to darmowy, otwartoźródłowy system zarządzania treścią (CMS) oparty na frameworku Laravel PHP. W wersjach przed 1.0.477, 1.1.12 i 1.2.12, użytkownicy z autoryzowanym dostępem do backendu mogli podnieść poziom dostępu swoich kont poprzez modyfikację ról i uprawnień przypisanych do ich kont za pomocą specjalnie przygotowanych żądań.

W oslabs-beta ThermaKube master odkryto problem związany z CWE-259: Użycie twardo zakodowanego hasła.

W wersji 4.0.14 narzędzia benkeen generatedata odkryto problem związany z niewłaściwą neutralizacją specjalnych elementów używanych w poleceniach SQL, co klasyfikuje się jako CWE-89.

Podatność w Asseco SEE Live 2.0 w komponentach Contact Plan, E-Mail, SMS i Fax umożliwia zdalnym atakującym dostęp do załączników i ich wykonanie poprzez przewidywalny URL. Wynika to z niebezpiecznej kontroli dostępu.

Plunk to otwartoźródłowa platforma e-mailowa oparta na AWS SES. Przed wersją 0.7.0 istniała podatność typu Server-Side Request Forgery (SSRF) w obsłudze webhooków SNS, która pozwalała nieautoryzowanemu atakującemu na wysłanie spreparowanego żądania, powodującego, że serwer wykonywał dowolne zewnętrzne żądanie HTTP GET.

Podatność CVE-2026-31976 dotyczy GitHub Action dla Xygeni Scanner, gdzie atakujący wykorzystał skompromitowane dane uwierzytelniające do wstrzyknięcia obfuskowanego kodu powłoki do pliku action.yml. Chociaż wnioski o pull requesty zostały zablokowane przez zasady ochrony gałęzi, atakujący zmienił tag v5, aby wskazywał na złośliwy commit, co umożliwiło wykonanie złośliwego kodu w workflow.

Himmelblau to zestaw interoperacyjny dla Microsoft Azure Entra ID i Intune. W wersjach od 3.0.0 do przed 3.1.0, brak skonfigurowanej domeny najemcy w pliku himmelblau.conf powoduje, że uwierzytelnianie nie jest ograniczone do konkretnego najemcy, co umożliwia przyjmowanie prób uwierzytelnienia z dowolnych domen Entra ID.

Black to bezkompromisowy formatter kodu w Pythonie, który oferuje akcję GitHub do formatowania kodu. Akcja ta obsługuje opcję use_pyproject: true, co pozwala na odczyt wersji Black z pliku pyproject.toml, który może być edytowany przez złośliwy pull request, prowadząc do wykonania dowolnego kodu.

WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.6 występuje krytyczna podatność na wstrzykiwanie SQL w aplikacji WeGIA, która pozwala uwierzytelnionemu atakującemu na wykonywanie dowolnych poleceń SQL.

W wersjach 0.4.0 i wcześniejszych w Unity Catalog występuje krytyczna podatność na obejście uwierzytelniania w punkcie wymiany tokenów (/api/1.0/unity-control/auth/tokens). Punkt ten wyciąga roszczenie issuer (iss) z przychodzących JWT i używa go do dynamicznego pobierania punktu JWKS do walidacji podpisu, nie weryfikując, czy issuer jest zaufanym dostawcą tożsamości.

Frappe to framework aplikacji webowych. Przed wersjami 15.84.0 i 14.99.0, specjalnie przygotowane żądanie wysłane do określonego punktu końcowego mogło prowadzić do wstrzyknięcia SQL, co pozwalało atakującemu na wyciągnięcie informacji, do których normalnie nie miałby dostępu.

Taskosaur to platforma do zarządzania projektami z funkcjonalnością AI do wykonywania zadań. W wersji 1.0.0 aplikacja nieprawidłowo weryfikuje lub ogranicza parametr roli podczas procesu rejestracji użytkownika, co pozwala atakującemu na przypisanie sobie podwyższonych uprawnień.

SAPIDO RB-1732 w wersji 2.0.43 zawiera podatność na zdalne wykonanie poleceń, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń systemowych poprzez przesyłanie złośliwego wejścia do punktu końcowego formSysCmd. Atakujący mogą wysyłać żądania POST z parametrem sysCmd zawierającym polecenia powłoki, aby wykonać kod z uprawnieniami routera.

FileThingie w wersji 2.5.7 zawiera podatność na nieautoryzowane przesyłanie plików, która umożliwia atakującym przesyłanie złośliwych plików poprzez wysyłanie archiwów ZIP do punktu końcowego ft2.php. Atakujący mogą przesyłać pliki ZIP zawierające powłoki PHP, a następnie wydobywać je do dostępnych katalogów.

NetGain EM Plus w wersji 10.1.68 zawiera podatność na zdalne wykonanie kodu, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń systemowych poprzez przesyłanie złośliwych parametrów do punktu końcowego script_test.jsp. Atakujący mogą wysyłać żądania POST z poleceniami powłoki osadzonymi w parametrze 'content', aby wykonać kod i uzyskać wyniki poleceń.