Katalog podatności CVE

Logto przed wersją 1.41.0 zawiera podatność na wstrzykiwanie XML w SAML, gdzie atrybuty profilu użytkownika (np. nazwa, email) są podstawiane do szablonu SAML bez odpowiedniego escapowania. Uwierzytelniony użytkownik z niskimi uprawnieniami może wstawić znaczniki XML do atrybutu profilu, co pozwala na sfałszowanie atrybutów SAML, takich jak rola, i eskalację uprawnień w zaufanych serwisach.

Snipe-IT przed wersją 8.6.2 zawiera podatność polegającą na niewystarczającym filtrowaniu przesyłanych plików SVG. Niskouprzywilejowany użytkownik może przesłać aktywną zawartość XHTML lub XML, która jest następnie serwowana w tym samym źródle (same-origin) i wykonuje JavaScript w przeglądarce ofiary.

Snipe-IT przed wersją 8.5.0 przechowuje nagłówek User-Agent z żądania w dzienniku akcji, a następnie zapisuje go do raportu CSV bez odpowiedniego escapowania formuł. Umożliwia to niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi wstrzyknięcie złośliwej formuły, która może zostać wykonana po otwarciu pliku CSV w arkuszu kalkulacyjnym.

Logto przed wersją 1.41.0 zawiera podatność w mechanizmie weryfikacji wieloetapowej (step-up) w Centrum Konta. Atakujący z tokenem API może utworzyć i zweryfikować rejestrację WebAuthn dla nowego klucza dostępu, a następnie użyć jej jako potwierdzenia tożsamości, co pozwala na zarządzanie czynnikami MFA bez posiadania hasła, identyfikatora lub istniejącego czynnika MFA.

Podatność w TeraMIS umożliwia ominięcie autoryzacji poprzez klucz kontrolowany przez użytkownika, co prowadzi do nadużycia uprawnień. Problem dotyczy wersji od V03.26.01.14 do 30.04.2026.

Podatność SQL injection w Dify przed wersją 1.16.0-rc1 w backendzie wektorowego magazynu MyScale umożliwia atakującym wykonanie dowolnych zapytań SQL poprzez nieoczyszczone parametry wyszukiwania przekazane do metody search_by_full_text. Brak walidacji i parametryzacji pozwala na wstrzyknięcie złośliwego kodu SQL, co może prowadzić do odczytu, modyfikacji lub usunięcia danych w bazie ClickHouse.

Krayin CRM w wersji do 2.2.3 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w kontrolerach LeadController, PersonController, OrganizationController, QuoteController i ActivityController. Umożliwia ona uwierzytelnionym użytkownikom edytowanie, aktualizowanie lub usuwanie rekordów należących do innych użytkowników.

Podatność w Snipe-IT przed wersją 8.6.2 umożliwia autoryzowanemu użytkownikowi przeniesienie rekordu konserwacji na zasób spoza zakresu jego firmy. Dzieje się tak, ponieważ żądania PATCH lub PUT do /api/v1/maintenances/{maintenance_id} nie ponownie autoryzują nowo dostarczonego identyfikatora zasobu (asset_id).

W Snipe-IT przed wersją 8.6.2 uwierzytelniony użytkownik niebędący administratorem, posiadający uprawnienia users.view i users.edit (ale bez users.delete), może wysłać bezpośrednie żądanie POST do /users/bulksave z parametrem delete_user=1. Powoduje to miękkie usunięcie innego nieadministracyjnego użytkownika, ponieważ kontroler BulkUsersController::destroy() autoryzuje jedynie operację aktualizacji.

W Snipe-IT przed wersją 8.6.2, w API akcesoriów podczas tworzenia rekordu dochodzi do masowego przypisania parametrów żądania do modelu Accessory, w tym pola company_id. Umożliwia to niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi z jednej firmy tworzenie rekordów akcesoriów w innej firmie, gdy włączona jest opcja Pełne Wsparcie Wielu Firm.

Podatność w Coturn przed wersją 4.13.0 pozwala uwierzytelnionemu klientowi TURN na ominięcie domyślnego blokowania pętli zwrotnej (loopback) poprzez użycie adresu IPv4-mapowanego na IPv6 (::ffff:127.0.0.1) w atrybucie XOR-PEER-ADDRESS. Mechanizm sprawdzania pętli zwrotnej nie obsługuje poprawnie tego typu adresów, co umożliwia przekazywanie ruchu do usług lokalnych na hoście Coturn.

Podatność w Coturn przed wersją 4.12.0 umożliwia wstrzykiwanie SQL przez panel administracyjny HTTPS. Parametry zapytań HTTP są przekazywane bezpośrednio do zapytań SQL bez odpowiedniego oczyszczania, co pozwala uwierzytelnionemu administratorowi na wstrzyknięcie dowolnego kodu SQL.

HestiaCP przed wersją 1.9.5 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń systemu operacyjnego, która umożliwia niskouprzywilejowanym uwierzytelnionym użytkownikom wykonanie dowolnych poleceń jako root poprzez wstrzyknięcie znaku apostrofu do niesprawdzonych typów rekordów DNS. Atakujący mogą wykorzystać niewystarczającą walidację danych wejściowych w funkcji is_dns_record_format_valid() w połączeniu z niebezpiecznym parsowaniem opartym na eval w update_dns_zone(), aby przedwcześnie zamknąć przypisanie zmiennej i uzyskać pełne wykonanie kodu na hoście w jednym kroku tworzenia rekordu DNS.

Podatność w ZITADEL przed wersją 4.15.3 umożliwia wymianę tokena o niskich uprawnieniach na token z podwyższonymi uprawnieniami w innej aplikacji. Dzieje się tak, ponieważ punkt końcowy OAuth2 Token Exchange nie weryfikuje, czy token podmiotu należy do żądającego klienta ani czy żądane zakresy mieszczą się w zakresach oryginalnego tokena.

W ZITADEL przed wersją 4.15.3, w ścieżkach błędów logowania Login V2 OIDC i SAML, parametr loginSettings.defaultRedirectUri jest przekazywany do router.push bez walidacji isSafeRedirectUri. Umożliwia to administratorowi organizacji lub instancji przechowanie URI javascript lub data, który może zostać wykonany w przeglądarce użytkownika po trafieniu na podatną ścieżkę błędu logowania.

W ZITADEL przed wersjami 3.4.12 i 4.15.2, przepływy OAuth2 i OIDC (CodeExchange, RefreshToken, device token) nie weryfikują, czy żądający klient jest zgodny z klientem, który zainicjował przepływ autoryzacji. Umożliwia to wymianę przechwyconych grantów lub tokenów odświeżania pod innym klientem.

Wtyczka grav-plugin-admin w wersji 1.10.52 i wcześniejszych umożliwia uwierzytelnionemu atakującemu z uprawnieniami admin.users zmianę hasła dowolnego użytkownika, w tym super administratora. Podatność wynika z braku weryfikacji, czy osoba wywołująca może edytować docelowe konto, podczas gdy funkcja saveUser sprawdza jedynie ogólne uprawnienia do zarządzania użytkownikami.

Biblioteka Excelize dla języka Go przed wersją 2.11.0 zawiera podatność polegającą na braku walidacji dolnej granicy indeksu podczas parsowania wartości komórek typu shared-string. Specjalnie spreparowany plik XLSX z wartością -1 może spowodować odwołanie poza zakres tablicy i panic podczas odczytu przez GetCellValue lub GetRows.

Biblioteka Excelize dla języka Go przed wersją 2.11.0 nie egzekwuje limitu TotalRows dla atrybutu r w wierszach podczas strumieniowego odczytu arkusza. Atakujący może dostarczyć mały plik XLSX z numerem wiersza powyżej 1048576, co powoduje dodawanie pustych wierszy i nadmierne zużycie pamięci oraz CPU.

9Router w wersji przed 0.5.2 traktuje żądania z pętli zwrotnej jako zaufane i zezwala na dostęp do /v1/* bez klucza API. Gdy odwrotne proxy przekierowuje ruch publiczny przez 127.0.0.1, src/dashboardGuard.js błędnie klasyfikuje żądania zewnętrzne jako lokalne, co umożliwia zdalnemu, nieuwierzytelnionemu atakującemu dostęp do API /v1, w tym do /v1/models oraz potencjalne nadużycie skonfigurowanych poświadczeń dostawcy upstream.