Katalog podatności CVE

W systemie New API, będącym bramą dla dużych modeli językowych (LLM) i systemem zarządzania aktywami AI, domyślna konfiguracja ochrony SSRF nie filtrowała adresów IP na podstawie nazw hostów. Wyłączenie opcji ApplyIPFilterForDomain powodowało, że walidacja URL sprawdzała tylko reguły dozwolonych/zablokowanych domen, ale nie rozwiązywała nazwy hosta na adres IP, co umożliwiało uwierzytelnionym użytkownikom skonfigurowanie URL-i powiadomień Webhook, Bark lub Gotify wskazujących na wewnętrzne lub metadane adresy IP.

Cotonti Siena 0.9.26 i wcześniejsze zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF), która pozwala nieuwierzytelnionym atakującym na modyfikację konfiguracji administratora poprzez nakłonienie zalogowanego administratora do wysłania sfałszowanego żądania POST do modułu aktualizacji konfiguracji w admin.php, który nigdy nie wywołuje funkcji walidacji CSRF aplikacji. Atakujący mogą wyłączyć białą listę rozszerzeń plików modułu PFS, ustawiając pfsfilecheck na 0, co umożliwia każdemu użytkownikowi z dostępem do PFS przesyłanie i wykonywanie dowolnych plików PHP na serwerze.

W systemie Juniper Networks Junos OS Evolved wykryto podatność polegającą na nieprawidłowym ograniczeniu kanału komunikacyjnego do zamierzonych punktów końcowych. Nieuwierzytelniony atakujący z sieci może wykorzystać otwarty port, aby uzyskać dostęp do procesu zarządzania licencjami, co prowadzi do wyczerpania licencji.

Wtyczka SIP w systemie Junos OS na platformach MX z SPC3 i SRX nieprawidłowo waliduje poprawność składniową przychodzących pakietów SIP. Nieuwierzytelniony atakujący może wysłać spreparowany pakiet INVITE, powodując awarię i restart procesu flowd, co prowadzi do całkowitej przerwy w działaniu usług.

W produkcie Junos OS na platformach MX z SPC3 i SRX wykryto podatność polegającą na nieprawidłowej walidacji określonej ilości w danych wejściowych wtyczki proxy TCP. Nieuwierzytelniony atakujący sieciowo może wysłać pakiet TCP ze specjalnie spreparowanym nagłówkiem, powodując awarię i restart procesu flowd, co prowadzi do całkowitej odmowy usługi (DoS).

Podatność w DeepSeek MCP Server pozwala atakującemu na przejęcie sesji użytkownika poprzez enumerację identyfikatorów sesji i ich ponowne użycie w żądaniach czatu. Problem występuje w wersjach od 1.4.2 do 1.7.0, gdzie globalny magazyn sesji nie weryfikuje autentyczności identyfikatorów sesji.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 złośliwa nazwa drugiego czynnika uwierzytelniania na koncie atakującego nie była odpowiednio kodowana w oknie potwierdzenia usunięcia, co umożliwiało trwałe cross-site scripting (XSS) podczas gdy administrator podszywał się pod to konto.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, nazwy ograniczonych tagów i grup tagów przypisane do publicznie czytelnych kategorii jako dozwolone tagi, dozwolone grupy tagów lub wymagane grupy tagów mogły wyciekać do anonimowych i nieautoryzowanych użytkowników przez endpointy kategorii i grup.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, funkcja pull_hotlinked_images mogła ujawnić bezpieczne przesłane pliki, jeśli atakujący znał ich adres URL i włączone było ustawienie secure_uploads.

W platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 proces rejestracji umożliwiał nowym użytkownikom ustawienie primary_group_id i uzyskanie uprawnień grupy whisper bez prawidłowego członkostwa w grupach, gdy skonfigurowano whispers_allowed_groups.

Biblioteka 'decompress' przed wersją 4.2.2 umożliwia tworzenie dowolnych dowiązań symbolicznych podczas rozpakowywania archiwum. Atakujący może spreparować archiwum zawierające dowiązania symboliczne wskazujące na wrażliwe pliki poza katalogiem docelowym, co prowadzi do ujawnienia informacji.

W funkcji jbig2_arith_iaid_ctx_new() w bibliotece Artifex występuje przepełnienie liczby całkowitej, które może zostać wykorzystane przez atakującego do wywołania odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

W urządzeniach TOTOLINK (modele A3000RU, A3100R, A950RG, AC1200T10, CP450, CS185R_T10, EX200) do wersji 20260906 wykryto podatność w interfejsie webowym. Nieznana funkcjonalność pliku /etc/boa/boa.conf umożliwia naruszenie zasady najmniejszego uprzywilejowania. Atak może być przeprowadzony zdalnie, ale jest trudny do wykonania.

Python Liquid 2.2.1 przed naprawą zawiera podatność na zapętlenie nieskończone podczas parsowania nieprawidłowo sformowanych tagów {% case %} bez odpowiadających bloków {% when %}, {% else %} i {% endcase %}. Błąd w metodzie liquid.TokenStream.eof powoduje, że token EOF nie ma odpowiednich pól kind i value, co umożliwia atak DoS.

W Pimcore przed wersjami 2025.4.6 i 2026.1.6, endpoint API Studio do tworzenia definicji klas był chroniony przez uprawnienie 'objects' zamiast 'classes', co pozwalało użytkownikom z poziomem edytora na tworzenie definicji klas bez uprawnień administratora. Dodatkowo brak walidacji formatu UID w warstwie API umożliwiał przesyłanie nieprawidłowych UID, co powodowało wycieki wewnętrznych wyjątków.

Podatność w Pimcore Studio Backend Bundle pozwala uwierzytelnionemu użytkownikowi na ekstrakcję hasha hasła administratora oraz innych danych z bazy danych poprzez atak SQL Injection typu time-based blind. Problem występuje w parametrze klucza kolumny DateFilter, gdzie dane wejściowe są interpolowane bezpośrednio do zapytania SQL.

W Pimcore przed wersjami 2025.4.6 i 2026.1.6 istnieje podatność pozwalająca nieuwierzytelnionemu atakującemu, znającemu nazwę administratora, na przejęcie konta poprzez wysłanie żądania resetowania hasła z kontrolowanym adresem URL. Serwer generuje prawdziwy token odzyskiwania, dołącza go do podanego URL i wysyła ofierze; po kliknięciu linku token trafia do atakującego, który może go użyć do uwierzytelnienia z pełnymi uprawnieniami administratora, omijając uwierzytelnianie dwuskładnikowe.

W FSM Client w wersji 11.11c od docuForm GmbH wykryto podatność umożliwiającą zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez komponent login.php. Mechanizm uwierzytelniania pozwala na enumerację użytkowników na podstawie różnic w odpowiedziach serwera.

W aplikacji docuForm GmbH Client w wersji 11.11c wykryto podatność na lokalne dołączanie plików (LFI) w komponencie dfm-menu_report.php. Zdalny atakujący może wykorzystać tę lukę do odczytu dowolnych plików na serwerze, w tym wrażliwych plików konfiguracyjnych, kodu źródłowego lub plików systemowych, co może prowadzić do wykonania dowolnego kodu.

Podatność w oprogramowaniu docuForm GmbH Client w wersji 11.11c umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez mechanizm przesyłania plików oraz komponent report.php.