Katalog podatności CVE

FUXA to oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard) działające w sieci. W wersjach od 1.2.8 do 1.2.10 występuje podatność na obejście uwierzytelniania, która pozwala nieautoryzowanemu, zdalnemu atakującemu na wykonanie dowolnego kodu na serwerze, gdy włączony jest plugin Node-RED. Problem został naprawiony w wersji 1.2.11.

FUXA to oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard) działające w przeglądarce. Występuje w nim podatność na traversję ścieżek, która pozwala nieautoryzowanemu, zdalnemu atakującemu na zapis dowolnych plików w dowolnych lokalizacjach na systemie plików serwera. Problem ten dotyczy wersji FUXA do 1.2.9, a został naprawiony w wersji 1.2.10.

FUXA to oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard) działające w sieci. Niezabezpieczona domyślna konfiguracja w FUXA pozwala nieautoryzowanemu, zdalnemu atakującemu uzyskać dostęp administracyjny i wykonywać dowolny kod na serwerze, co dotyczy wersji FUXA do 1.2.9, gdy uwierzytelnienie jest włączone, ale sekret JWT administratora nie jest skonfigurowany.

FUXA to oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard) działające w sieci. Przed wersją 1.2.10 istniała podatność na obejście uwierzytelniania, która pozwalała nieautoryzowanemu atakującemu zdalnie uzyskać dostęp administracyjny poprzez API odświeżania heartbeat i wykonać dowolny kod na serwerze.

my little forum to forum internetowe oparte na PHP i MySQL, które wyświetla wiadomości w klasycznym widoku wątków. Przed wersją 20260208.1 aplikacja nie filtruje protokołu phar:// w walidacji URL, co pozwala atakującym na przesyłanie złośliwych plików Phar Polyglot (przebranych za JPEG) za pomocą funkcji przesyłania obrazów, co prowadzi do deserializacji Phar poprzez przetwarzanie tagu BBCode [img] i umożliwia usunięcie dowolnych plików.

SandboxJS to biblioteka do sandboxingu JavaScript. W wersjach przed 0.8.31 występuje podatność na ucieczkę z sandboxa, która pozwala na modyfikację wbudowanych prototypów hosta przez manipulację flagą ochrony isGlobal za pomocą pośrednich literałów tablicowych.

PlaciPy to system zarządzania miejscami przeznaczony dla instytucji edukacyjnych. W wersji 1.0.0 middleware autoryzacji administratora ufa roszczeniom JWT kontrolowanym przez klienta (rola i zakres), nie wymuszając weryfikacji ról po stronie serwera.

PlaciPy to system zarządzania miejscami przeznaczony dla instytucji edukacyjnych. W wersji 1.0.0 parametry zapytań kontrolowane przez użytkownika są przekazywane bezpośrednio do konstrukcji zapytań/filtrów DynamoDB bez walidacji lub sanitizacji.

PlaciPy to system zarządzania miejscami przeznaczony dla instytucji edukacyjnych. W wersji 1.0.0 aplikacja pobiera identyfikator najemcy bezpośrednio z domeny e-mail podanej przez użytkownika, nie weryfikując własności ani rejestracji domeny, co umożliwia dostęp do danych między najemcami.

PlaciPy to system zarządzania przyjęciami zaprojektowany dla instytucji edukacyjnych. W wersji 1.0.0, plik backend/src/routes/results.routes.ts weryfikuje autoryzację, ale nie egzekwuje autoryzacji na poziomie obiektów, co pozwala na zwrócenie wszystkich wyników dla danego oceniania.

PlaciPy to system zarządzania przyjęciami zaprojektowany dla instytucji edukacyjnych. W wersji 1.0.0, plik backend/src/routes/student.submission.routes.ts weryfikuje uwierzytelnienie, ale nie egzekwuje autoryzacji na poziomie obiektów (sprawdzania własności).

PlaciPy to system zarządzania praktykami zaprojektowany dla instytucji edukacyjnych. W wersji 1.0.0 punkt końcowy oceny kodu nie weryfikuje stanu cyklu życia oceny przed umożliwieniem jej wykonania.

MarkUs to aplikacja webowa do składania i oceniania prac studentów. W wersjach przed 2.9.1, instruktorzy mogli przesyłać plik zip, aby utworzyć zadanie z wyeksportowanej konfiguracji, co prowadziło do możliwości zapisu plików na dysku bez odpowiedniej weryfikacji ścieżek.

FreeRDP to darmowa implementacja protokołu zdalnego pulpitu. W wersjach przed 3.22.0 klient URBDRC używa numerów interfejsów dostarczonych przez serwer jako indeksów tablic bez sprawdzania granic, co prowadzi do odczytu poza zakresem w libusb_udev_select_interface. Ta podatność została naprawiona w wersji 3.22.0.

FreeRDP to darmowa implementacja protokołu zdalnego pulpitu. W wersjach przed 3.22.0 funkcja ecam_encoder_compress_h264 ufa wymiarom kontrolowanym przez serwer i nie weryfikuje rozmiaru bufora źródłowego, co prowadzi do odczytu poza zakresem w funkcji sws_scale. Ta podatność została naprawiona w wersji 3.22.0.

Fiber to framework webowy inspirowany Express, napisany w Go. W wersjach przed 2.52.11, na wersjach Go przed 1.24, implementacja crypto/rand może zwracać błąd, jeśli nie można uzyskać bezpiecznej losowości, co prowadzi do używania przewidywalnych identyfikatorów w krytycznych ścieżkach bezpieczeństwa.

W module haseł firmy Xpoda Türkiye Information Technology Inc. występuje podatność na wstrzykiwanie SQL (SQL Injection) z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy modułu haseł do dnia 11022026.

W JetBrains Hub przed wersją 2025.3.119807 istniała podatność umożliwiająca obejście uwierzytelniania, co pozwalało na wykonywanie działań administracyjnych.

C&Cm@il opracowany przez HGiga ma lukę związaną z brakiem uwierzytelnienia, co pozwala nieautoryzowanym zdalnym atakującym na odczyt i modyfikację treści wiadomości dowolnego użytkownika.

Dane uwierzytelniające użytkowników są przechowywane z użyciem szyfrowania AES‑ECB z twardo zakodowanym kluczem. Nieautoryzowany zdalny atakujący, który uzyska plik konfiguracyjny, może odszyfrować i odzyskać hasła oraz nazwy użytkowników, zwłaszcza w połączeniu z obejściem uwierzytelniania.