Katalog podatności CVE

W projekcie UERANSIM do wersji 3.3.0 wykryto podatność na uszkodzenie pamięci w funkcji ULInformationTransfer w pliku src/gnb/rrc/handler.cpp. Manipulacja argumentem dedicatedNASMessage prowadzi do uszkodzenia pamięci. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W projekcie OpenDMARC do wersji 1.4.2 wykryto podatność na dereferencję pustego wskaźnika w funkcji opendmarc_spf_ipv6_explode w bibliotece libopendmarc. Manipulacja argumentem cp powoduje błąd. Atak może być przeprowadzony zdalnie, a exploit jest opublikowany.

W projekcie Mini-Inventory-and-Sales-Management-System wykryto podatność na iniekcję SQL w funkcji order_by w pliku DB_query_builder.php. Manipulacja argumentem orderBy umożliwia zdalny atak. Exploit jest publicznie dostępny. Projekt nie jest już wspierany przez autora.

Podatność znaleziona w Krayin laravel-crm do wersji 2.2.5. Dotkniętym elementem jest funkcja Storage::download pliku packages/Webkul/Admin/src/Config/acl.php komponentu attachment-download Endpoint. Manipulacja argumentem ID prowadzi do niewłaściwej kontroli identyfikatorów zasobów. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być użyty. Aktualizacja do wersji 2.2.6 jest wystarczająca do rozwiązania tego problemu. Identyfikator poprawki to 13d6988cda8d69ece45ee1890effc90a7f21cdc1. Zaleca się aktualizację dotkniętego komponentu.

Wykryto wadę w Krayin laravel-crm do wersji 2.2.5. Dotkniętym elementem jest nieznana funkcja pliku packages/Webkul/Admin/src/Config/acl.php. Wykonanie manipulacji może prowadzić do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Aktualizacja do wersji 2.2.6 jest wystarczająca do naprawy tego problemu. Poprawka nazywa się a399404a388d8ad2700a01349d0d98069c8e85a4. Dotknięty komponent powinien zostać zaktualizowany.

W systemie wieloużytkownikowym użytkownik z aktywną lokalną sesją logowania może zdegradować systemową aplikację Flatpak do starszej wersji, usuwając referencję zdalną aplikacji za pomocą nieuprzywilejowanej metody system-helper RemoveLocalRef, co powoduje, że kontrola anty-degradacji nie znajduje daty referencyjnej. Złośliwy lokalny użytkownik może to wykorzystać do narażenia innych użytkowników tego samego systemu na wersję aplikacji z niezałatanymi podatnościami.

Nezha to narzędzie do monitorowania serwerów i stron internetowych. W wersjach >= 2.2.11 i < 2.3.1, worker sentinel usługi (service/singleton/servicesentinel.go) zawiera niekompletną poprawkę wcześniej zgłoszonej podatności na wyłuskanie nil (denial of service) (GHSA-qjpp-gffx-2wm9). Poprawka z 2026-07-21 ponownie walidowała cykl życia usługi pod serviceResponseDataStoreLock, ale używała już przechwyconego, nieaktualnego wskaźnika reportera i nigdy nie ponownie walidowała serwera, a ten lock nie chroni ServerShared. Uwierzytelniony użytkownik z rolą członka, który posiada agenta, może wydać równoczesne usunięcie serwera (POST /api/v1/batch-delete/server) dla własnego serwera, aby wygrać wyścig, powodując wyłuskanie brakującego wpisu w migawce listy serwerów przez worker. Ponieważ workery sentinel i serwer gRPC nie mają interceptora recover()/recovery, wynikający panic jest nieodzyskany i powoduje awarię całej instancji. Poprawione w wersji 2.3.1.

Nezha w wersjach 2.0.10 do 2.3.2 używa ograniczonego klienta HTTP do walidacji konfigurowalnych przez użytkownika adresów URL webhooków powiadomień i DDNS, ale lista zablokowanych nie obejmowała zakresów przejściowych IPv6 — konkretnie prefiksu 6to4 2002::/16 oraz prefiksu translacji lokalnej IPv4/IPv6 64:ff9b:1::/48. Ponieważ takie adresy spełniają sprawdzenie netip.Addr.IsGlobalUnicast w Go, walidator URL je akceptował. Uwierzytelniony użytkownik mogący skonfigurować webhook może spowodować, że dashboard wyśle żądania do w inny sposób ograniczonego punktu końcowego IPv6, ale tylko tam, gdzie sieć dashboardu zapewnia nietypowe lub niezgodne ze standardami routowanie dla tych zakresów przejściowych; nie wykazano bezpośredniej ścieżki do żądania HTTP do metadanych IPv4, pętli zwrotnej lub sieci prywatnej. Problem jest naprawiony w wersji 2.3.3 (commit d1fcde8e), która blokuje oba prefiksy.

Nezha Dashboard w wersjach przed 2.3.5 nie ogranicza typów zadań monitorów usług do obsługiwanych typów sond. Uwierzytelniony użytkownik z uprawnieniem nezha:service:write może przesłać uprzywilejowane typy zadań przez API usługi, wykorzystując współdzieloną przestrzeń nazw protobuf Task.Type.

Nezha przed 2.3.8 nie waliduje typu reguły alertu ani zakresu czasu trwania, co pozwala uwierzytelnionym użytkownikom niebędącym administratorami tworzyć błędne reguły wywołujące nieodwracalne paniki w goroutine ewaluatora alertów. Atakujący może przesłać spreparowaną regułę przez POST /api/v1/alert-rule, powodując awarię procesu dashboardu.

Obot w wersjach przed v0.23.0 nie wymusza uwierzytelniania na endpointach MCP Registry pod /v0.1/*, gdy uwierzytelnianie rejestru jest włączone. Nieuwierzytelniony atakujący może odczytać metadane rejestru, w tym nazwy serwerów, opisy, adresy URL repozytoriów i adresy URL połączeń, wysyłając żądania GET do /v0.1/servers.

W zhistaredu StarTraining do wersji 3.8.1 wykryto lukę w funkcji checkRoleAllowed w pliku SysRoleServiceImpl.java komponentu dataScope Endpoint. Manipulacja prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie.

W zhistaredu StarTraining do wersji 3.8.1 wykryto lukę w funkcji SysUser.isAdmin w pliku edu-common/src/main/java/com/edu/common/core/domain/entity/SysUser.java komponentu authRole Endpoint. Manipulacja argumentami userId/roleIds prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie.

W mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto lukę w nieznanej funkcjonalności pliku registrationform.php. Manipulacja argumentami FName/LName/Addrs prowadzi do cross site scripting, a atak można przeprowadzić zdalnie.

Złośliwy rejestr OCI może utworzyć twarde dowiązania do dowolnych plików hosta w katalogu ekstrakcji, gdy użytkownik instaluje lub aktualizuje aplikację Flatpak ze zdalnego rejestru OCI. Pozwala to na ujawnienie zawartości dowolnych plików hosta.

W mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto lukę w nieznanej funkcji pliku loginlinkstudent.php. Manipulacja argumentem umail prowadzi do braku uwierzytelniania, a atak można przeprowadzić zdalnie.

W mathurvishal CloudClassroom-PHP-Project do wersji 5dadec098bfbbf3300d60c3494db3fb95b66e7be wykryto lukę w nieznanej funkcji. Manipulacja prowadzi do cross-site request forgery, a atak można przeprowadzić zdalnie.

utcp-gql przed 1.1.1 i utcp-websocket przed 1.1.1 zawierają luki server-side request forgery wynikające z niepełnego zastosowania poprawek CVE-2026-44661. Wtyczka GraphQL używa podatnego sprawdzania prefiksu, pozwalającego obejść adresy URL, takie jak http://127.0.0.1.attacker.example, a wtyczka WebSocket nie wykonuje żadnej walidacji adresów URL.

python-utcp (pakiet pip utcp-http) przed wersją 1.1.12 nie weryfikuje, czy adresy URL narzędzi zadeklarowane w ręcznie napisanym podręczniku UTCP wskazują na interfejs pętli zwrotnej agenta, gdy podręcznik jest pobierany ze zdalnego źródła. Atakujący może dostarczyć podręcznik, który ofiara zarejestruje, i spowodować wysyłanie żądań do usług nasłuchujących tylko na 127.0.0.1 na hoście ofiary, a odpowiedzi są zwracane atakującemu (SSRF).

Cloudreve przed wersją 4.16.1 nie ponownie weryfikuje dostępu do udostępnionych zasobów podczas przywracania zapisanego stanu nawigacji z UUID context_hint. Atakujący, którzy wcześniej mieli ważny dostęp do udostępnienia, mogą odtworzyć zapisany hint i generować podpisane adresy URL plików przez maksymalnie 300 sekund po usunięciu udostępnienia, wygaśnięciu lub osiągnięciu limitu pobrań.