Katalog podatności CVE

rclone przed wersją 1.74.4 nie usuwa nagłówka X-Amz-Security-Token, gdy przekierowanie S3 zmienia schemat z HTTPS na HTTP na tym samym hoście. Atakujący mogą przechwycić niezaszyfrowany ruch HTTP, aby zdobyć tokeny sesji AWS STS wysyłane w nagłówkach żądań.

rclone przed wersją 1.75.0 dołącza pełne ślady stosu Go do odpowiedzi błędów API RC, gdy wystąpią paniki. Atakujący mogą wywołać paniki, aby ujawnić wewnętrzne ścieżki plików, wersje modułów, stany gorutyn i adresy pamięci.

W określonych okolicznościach użytkownik o niskich uprawnieniach może wysłać żądanie do zdalnych repozytoriów CocoaPods za pośrednictwem JFrog Artifactory External Dependency.

Podczas dekompresji spreparowanych plików zip przy użyciu kompresji bzip/LZMA/Zstandard, Python może użyć kontrolowanego przez atakującego rozmiaru do wstępnego przydzielenia pamięci, co może prowadzić do wyczerpania pamięci.

W liketrek TREK do wersji 3.0.22 wykryto słabość w funkcji validateShareTokenForAsset komponentu Journey Photo Proxy. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, charakteryzuje się wysoką złożonością i trudnym wykorzystaniem. Wersja 3.1.0 naprawia ten problem.

W liketrek TREK do wersji 3.0.22 odkryto lukę bezpieczeństwa w nieznanej funkcji pliku server/src/nest/journey/journey-public.controller.ts komponentu Public Journey Photo Proxy. Manipulacja prowadzi do path traversal. Atak może być przeprowadzony zdalnie, ma wysoką złożoność i jest trudny do wykorzystania. Wersja 3.1.0 łagodzi ten problem.

HCL Hive jest dotknięty podatnością na ujawnienie informacji, która może pozwolić atakującemu na zebranie wrażliwych informacji o środowisku hosta.

Podatność XSS (reflected) w bibliotece AshAuthentication umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony HTML generowanej podczas potwierdzania akcji lub logowania przez magic link. Problem występuje, gdy strategia ma włączoną opcję require_interaction, a parametry żądania są osadzane w formularzach bez odpowiedniego kodowania.

W bibliotekach peerigon unzip-crx i unzip-crx-3 do wersji 0.2.0 wykryto podatność na path traversal w funkcji unzip pliku dist/index.js podczas ekstrakcji archiwum. Manipulacja argumentem destination może prowadzić do zapisu poza katalogiem docelowym. Atak może być wykonany tylko lokalnie, a exploit został opublikowany.

Grav CMS przed wersją 2.0.16 ma podatność czasową w funkcji Utils::verifyNonce(), która używa porównania nie w stałym czasie (operator ===) zamiast hash_equals() do walidacji nonce CSRF. Atakujący mogą mierzyć różnice czasu odpowiedzi, aby odzyskać prawidłowe nonce bajt po bajcie.

Adminer w wersjach 4.6.0-5.5.0 (poprawione w 5.5.1) ma niekompletną poprawkę podatności X-Forwarded-Prefix. Walidacja odrzuca tylko prefiksy zaczynające się od '/', ale pozwala na wartości takie jak '/\evil.com', które po normalizacji przeglądarki stają się sieciowym odwołaniem ścieżki, wpływając na atrybut Path w ciasteczkach.

W Faveo Helpdesk do wersji 2.0.3 występuje podatność na przechodzenie do innych katalogów (path traversal) w funkcji unlink w pliku SettingsController.php (komponent Logo Handler). Manipulacja argumentem data1 umożliwia zdalne usunięcie dowolnych plików. Exploit został publicznie ujawniony i może być wykorzystany.

W hexpm (hex.pm) występuje podatność polegająca na niewystarczającym wygaśnięciu sesji w mechanizmie odświeżania tokenów OAuth. Użytkownik usunięty z organizacji może nadal czytać prywatne pakiety, ponieważ zakresy uprawnień nie są poprawnie aktualizowane. Problem dotyczy wersji hex.pm od 2025-10-10 do przed 2026-08-24.

Netty przed wersjami 4.1.137.Final i 4.2.17.Final zawiera podatność w MqttEncoder, która nie waliduje identyfikatorów klienta, tematów will, nazw użytkowników oraz nazw tematów PUBLISH przed kodowaniem. Może to pozwolić na wstrzyknięcie niedozwolonych bajtów null w polach UTF-8 MQTT, co może prowadzić do błędów routingu, kontroli dostępu lub tożsamości w brokerach.

W Piwigo 16.3.0 znaleziono podatność w nieznanej funkcji komponentu Public Authentication Page. Manipulacja argumentem lang prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Exploit został opublikowany. Aktualizacja do wersji 16.4.0 naprawia problem.

Podatność w Apache::AppSamurai::Util w wersjach do 1.01 dla Perla: generowanie przewidywalnych kluczy uwierzytelniania sesji na podstawie zegara i identyfikatora procesu w CreateSessionAuthKey. Funkcja wykonuje pięć rund SHA-256, każda na świeżym odczycie Time::HiRes sformatowanym do sześciu miejsc po przecinku, bieżącym skrócie i identyfikatorze procesu. Klucz jest zwracany do przeglądarki jako ciasteczko sesji i łączony z kluczem serwera. Atakujący, znając sekundę utworzenia sesji i PID, może wyliczyć klucze i odzyskać ciasteczko ofiary, omijając uwierzytelnianie.

Wtyczka Content Mask dla WordPressa przed wersją 1.8.5.5 nie sprawdza uprawnień wymaganych do publikowania tworzonego typu treści, co pozwala użytkownikom z rolą Contributor na publikowanie postów i stron bez posiadania odpowiednich uprawnień.

Podatność znaleziona w Systerel S2OPC do wersji 1.7.3 dotyczy funkcji SOPC_NodeMgtHelperInternal_AddVariableNodeAttributes w pliku src/ClientServer/address_space/internal/sopc_node_mgt_helper_internal.c komponentu AddNodes Service. Manipulacja argumentem UserAccessLevel prowadzi do odczytu poza zakresem. Atak może być zainicjowany zdalnie, ale wymaga wysokiego stopnia złożoności i jest trudny do wykorzystania. Exploit został ujawniony publicznie.

NLTK 3.9.4 do 3.10.2 zawiera podatność na path traversal w CrubadanCorpusReader. _load_lang_ngrams łączy korzeń korpusu z crubadan_code, wartością z kolumny 0 odczytaną z pliku mapowania corpus table.txt, i otwiera wynik za pomocą wbudowanego open() zamiast walidowanego przez pathsec otwieracza, więc os.path.join odrzuca korzeń, gdy ta wartość jest absolutna, a odczyt wychodzi poza katalog korpusu bez sprawdzenia zawartości, które nltk.pathsec stosuje, gdy ENFORCE jest ustawione. Atakujący, który kontroluje pakiet korpusu, może ujawnić zawartość plików poza korzeniem korpusu przez lang_freq, ograniczone do ścieżek kończących się na -3grams.txt, których zawartość parsuje się jako linie z liczbą tokenów.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie egzekwuje kontroli własności obiektów dla swojego typu treści kursów. Pozwala to każdemu użytkownikowi z rolą instruktora na odczyt treści prywatnych kursów należących do innych instruktorów.