Katalog podatności CVE

Platforma zarządzania systemami Epross AVCON6 zawiera podatność na wstrzykiwanie języka nawigacji obiektów (OGNL), która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń poprzez wstrzykiwanie złośliwych wyrażeń OGNL. Atakujący mogą wysyłać spreparowane żądania do punktu końcowego login.action z ładunkami OGNL w parametrze redirect, aby zainicjować obiekty ProcessBuilder i wykonywać polecenia systemowe z uprawnieniami roota.

Cloud CLI (znany również jako Claude Code UI) przed wersją 1.25.0 zawierał podatność na wstrzyknięcie poleceń systemowych przez WebSocket Shell. Parametry projectPath i initialCommand w pliku server/index.js były bezpośrednio pobierane z ładunku wiadomości WebSocket i interpolowane do ciągu polecenia bash bez jakiejkolwiek sanitizacji, co umożliwiało wykonanie dowolnych poleceń systemowych.

W Parse Server, przed wersjami 9.6.0-alpha.5 i 8.6.31, występuje podatność na wstrzykiwanie SQL w adapterze pamięci masowej PostgreSQL podczas przetwarzania operacji Increment na zagnieżdżonych polach obiektów przy użyciu notacji kropkowej. Nazwa podklucza jest interpolowana bezpośrednio do literałów ciągów SQL bez odpowiedniego zabezpieczenia.

Cloud CLI (znany również jako Claude Code UI) przed wersją 1.24.0 posiadał wiele punktów końcowych API związanych z Gitem, które używały execAsync() z interpolacją ciągów parametrów kontrolowanych przez użytkownika (plik, gałąź, wiadomość, commit). To umożliwiało uwierzytelnionym atakującym wykonywanie dowolnych poleceń systemowych.

W Parse Server, otwartym backendzie działającym na Node.js, występuje podatność na wstrzykiwanie SQL w adapterze pamięci masowej PostgreSQL. Problem ten pojawia się podczas przetwarzania operacji inkrementacji na zagnieżdżonych polach obiektów przy użyciu notacji kropkowej, co pozwala atakującemu na wstrzyknięcie dowolnych subzapytań SQL.

Jellyfin to system multimedialny typu open-source. Workflow code-quality.yml w projekcie jellyfin/jellyfin-ios jest podatny na wykonanie dowolnego kodu poprzez pull requesty z forku, co może prowadzić do przejęcia repozytorium oraz wycieku poufnych danych.

Parse Server to open source backend, który może być wdrożony na każdej infrastrukturze obsługującej Node.js. Przed wersjami 9.6.0-alpha.2 i 8.6.28, atakujący mógł wykorzystać nazwę pola w notacji kropkowej w połączeniu z parametrem sortowania, aby wstrzyknąć SQL do bazy danych PostgreSQL poprzez niewłaściwe eskapowanie wartości podpól w zapytaniach notacji kropkowej.

W wersjach Neo4j Enterprise przed 2026.02 występuje problem z implementacją SSO, który może prowadzić do nieautoryzowanego dostępu. Dotyczy to sytuacji, gdy administrator skonfiguruje wiele dostawców OIDC, z których niektórzy są tylko do uwierzytelniania, ale mogą również zapewniać autoryzację.

W urządzeniu Lantronix EDS3000PS w wersji 3.1.0.0R2 wykryto podatność umożliwiającą ominięcie uwierzytelniania na stronach zarządzania. Wystarczy dodać określony sufiks do adresu URL oraz wysłać nagłówek Authorization z nazwą użytkownika 'admin'.

W podatności CVE-2026-30741 w platformie OpenClaw Agent v2026.2.6 występuje możliwość zdalnego wykonania kodu (RCE) poprzez atak typu injection w promptach po stronie żądania, co pozwala atakującym na wykonanie dowolnego kodu.

Argo Workflows przed wersjami 4.0.2 i 3.7.11 zawiera podatność, która umożliwia nieautoryzowanym klientom pobieranie szablonów przepływów pracy (WorkflowTemplates i ClusterWorkflowTemplates) poprzez wysłanie żądania z dowolnym tokenem w nagłówku Authorization. Może to prowadzić do ujawnienia poufnych danych, w tym osadzonych manifestów Secret.

W aplikacji Vociferous przed wersją 4.4.2 występuje podatność w pliku src/api/system.py w trasie export_file. Aplikacja akceptuje ładunek JSON zawierający nazwę pliku i treść, jednak nie weryfikuje poprawności nazwy pliku przed przetworzeniem przez logikę systemu plików.

W funkcji poczty w Zoom Workplace dla systemu Windows przed wersją 6.6.0 występuje zewnętrzna kontrola nazwy pliku lub ścieżki, co może umożliwić nieautoryzowanemu użytkownikowi eskalację uprawnień poprzez dostęp sieciowy.

IFTOP opracowany przez WellChoose ma podatność na lokalne włączenie pliku, co pozwala nieautoryzowanym zdalnym atakującym na wykonanie dowolnego kodu na serwerze.

Wtyczka Datalogics Ecommerce Delivery dla WordPressa przed wersją 2.6.60 udostępnia nieautoryzowany punkt końcowy REST, który pozwala zdalnym użytkownikom na modyfikację opcji `datalogics_token` bez weryfikacji. Token ten jest następnie używany do autoryzacji w chronionym punkcie końcowym, co umożliwia wykonywanie dowolnych operacji `update_option()` w WordPressie.

W urządzeniach MR-GM5L-S1 i MR-GM5A-L1 występuje problem z ominięciem uwierzytelniania, który może pozwolić atakującemu na ominięcie procesu logowania i zmianę konfiguracji urządzenia.

W urządzeniach MR-GM5L-S1 i MR-GM5A-L1 występuje problem z użyciem twardo zakodowanych poświadczeń, co może umożliwić atakującemu uzyskanie dostępu administracyjnego.

Netbox-docker w wersjach przed 2.5.0 posiada konto superużytkownika z domyślnymi danymi logowania. Domyślne hasło dla konta admin to 'admin', a wartość SUPERUSER_API_TOKEN to '0123456789abcdef0123456789abcdef01234567'.

Podatność w MiCode FileExplorer umożliwia ominięcie uwierzytelniania w serwerze FTP SwiFTP. Atakujący sieciowo mogą zalogować się bez ważnych poświadczeń, wysyłając dowolną nazwę użytkownika i hasło do handlera polecenia PASS, który bezwarunkowo przyznaje dostęp. Pozwala to na wyświetlanie, odczytywanie, zapisywanie i usuwanie plików udostępnionych przez serwer FTP.