Katalog podatności CVE

PraisonAI przed wersją 4.6.78 zawiera nieuwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w endpointcie Jobs API /api/v1/runs. Parametr webhook_url jest walidowany w momencie żądania, ale ponownie rozwiązywany w momencie połączenia, co pozwala atakującym na wykorzystanie ponownego wiązania DNS do dotarcia do wewnętrznych usług w ramach ślepego ataku SSRF.

W JetBrains TeamCity przed wersją 2026.1.2 wykryto podatność umożliwiającą modyfikację potoku (pipeline) z powodu nieprawidłowego sprawdzania uprawnień.

W JetBrains TeamCity przed wersją 2026.1.2 odkryto podatność na trwały atak XSS (stored cross-site scripting) poprzez niezautoryzowaną rejestrację agenta. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników.

W JetBrains TeamCity przed wersją 2026.1.2 odkryto podatność na trwały atak XSS na stronie profilu chmury. Atak był możliwy poprzez dane zgłaszane przez agenta.

W JetBrains TeamCity przed wersją 2026.1.2 wykryto podatność umożliwiającą nieautoryzowany dostęp do dowolnych plików poprzez integrację z systemem kontroli wersji Perforce.

Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie uwierzytelniania w punkcie końcowym zmiany hasła. Atakujący mogą zmienić hasło użytkownika bez potwierdzenia bieżącego hasła.

Podatność w Capgo przed wersją 12.128.2 ujawnia informacje poprzez funkcję RPC get_orgs_v7(userid), która jest publicznie wywoływalna mimo zamierzonej prywatnej kontroli dostępu. Nieuwierzytelnieni atakujący mogą podać dowolne UUID użytkownika, aby pobrać dane o członkostwie w organizacjach, rolach, służbowych adresach e-mail i metadanych rozliczeniowych innych użytkowników.

Crawl4AI przed wersją 0.8.7 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w endpointach API Dockera /crawl/job i /llm/job, które akceptują adresy URL webhook bez walidacji docelowego miejsca. Atakujący może dostarczyć adresy URL webhook wskazujące na prywatne lub wewnętrzne zakresy IP, sieci Docker lub punkty końcowe metadanych chmury (np. 169.254.169.254), powodując, że serwer wysyła żądania do wewnętrznych usług i potencjalnie ujawnia metadane chmury.

Podatność w bibliotece @capgo/capacitor-updater przed wersją 12.128.2 polega na dystrybucji klucza prywatnego do każdego urządzenia pobierającego aplikację. Umożliwia to atakującemu przeprowadzenie ataku typu man-in-the-middle lub przejęcie serwera Capgo w celu podpisania fałszywej aktualizacji.

Podatność w iDirect iQ200 umożliwia nieuwierzytelnionemu atakującemu dostęp do wrażliwych informacji urządzenia przez endpointy API /api/identity i /api/. Atakujący może uzyskać numer seryjny, Device ID (DID), identyfikator klucza prywatnego terminala (TPK), adres MAC oraz dokładną wersję firmware'u.

Urządzenie iDirect iQ200 nie weryfikuje tokenów CSRF w punktach końcowych API zmieniających stan po uwierzytelnieniu. Punkt końcowy /api/reboot akceptuje żądania POST uwierzytelnione wyłącznie ciasteczkiem sesji bez atrybutu SameSite. Zdalny atakujący może hostować złośliwą stronę WWW, która po odwiedzeniu przez uwierzytelnionego administratora automatycznie wysyła żądanie POST, powodując natychmiastowy restart urządzenia i utratę łącza satelitarnego.

Lucee CFML Server w wersjach 5.3.x, 6.1.x, 6.2.x i 7.0.x zawiera podatność na odbity atak XSS w parsowaniu ścieżki URL. Niezautoryzowany atakujący zdalny może osadzić złośliwy kod HTML/JavaScript w ścieżce żądania, który zostanie odbity w odpowiedzi serwera bez odpowiedniego kodowania wyjścia. Umożliwia to przejęcie sesji lub wykonanie nieautoryzowanych działań w interfejsie administracyjnym Lucee po kliknięciu przez ofiarę spreparowanego linku.

FlaskBB do wersji 2.2.0 zawiera lukę logiczną, która umożliwia uwierzytelnionym administratorom usunięcie wszystkich wbudowanych grup autoryzacyjnych. Błąd wynika z niezgodności typów w punkcie końcowym AJAX do masowego usuwania, gdzie identyfikatory grup w formacie JSON są porównywane z literałami łańcuchowymi, co powoduje, że kontrola ochrony zawsze przechodzi pomyślnie.

FlaskBB do wersji 2.2.0 zawiera podatność na obejście autoryzacji, która umożliwia uwierzytelnionym moderatorom wykonywanie nieautoryzowanych działań na tematach w forach, których nie kontrolują, poprzez przesłanie spreparowanych list identyfikatorów tematów. Atakujący mogą umieścić temat o niskim ID z dozwolonego forum jako kotwicę w żądaniu zbiorczym, co powoduje, że kontrola uprawnień zastosowana tylko do pierwszego wyniku przechodzi pomyślnie, a następnie wykonują działania blokowania, odblokowywania, usuwania lub ukrywania tematów w niemoderowanych forach.

Podatność deserializacji niezaufanych danych w Dell Unisphere for PowerMax w wersjach 10.3.0.5 i wcześniejszych. Niskouprzywilejowany atakujący zdalnie może wykorzystać tę lukę do wykonania dowolnych poleceń z uprawnieniami root.

Dell PowerFlex Manager w wersji starszej niż 5.1.0.1 zawiera podatność na wstrzykiwanie SQL (SQL Injection) spowodowaną niewłaściwą neutralizacją specjalnych elementów w poleceniach SQL. Niskouprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę lukę do ujawnienia informacji, ekspozycji danych oraz nieautoryzowanego dostępu.

Podatność SQL Injection w Dell PowerFlex Manager przed wersją 5.1.0.1 umożliwia atakującemu z niskimi uprawnieniami i zdalnym dostępem wstrzyknięcie złośliwego kodu SQL, co prowadzi do ujawnienia informacji.

Podatność w R-SOFT DMS polega na przechowywaniu haseł superadmina za pomocą niesolonego, zagnieżdżonego skrótu MD5. Umożliwia to atakującemu, który uzyska skrót hasła, odszyfrowanie danych logowania superadmina. Co istotne, hasła tego nie można zmienić inaczej niż poprzez modyfikację pliku konfiguracyjnego.

Podatność IDOR w R-SOFT DMS umożliwia nieautoryzowany dostęp do plików poprzez manipulację identyfikatorem w żądaniach pobierania. System nie weryfikuje uprawnień użytkownika do konkretnego pliku, opierając się wyłącznie na uwierzytelnieniu sesji.

Podatność OS Command Injection w funkcji konwertujAction() w R-SOFT DMS pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemowych z uprawnieniami użytkownika serwera WWW. Problem został naprawiony w wersjach v3.19-2752 i v3.17-2580.