Katalog podatności CVE

W Hoppscotch przed wersją 2026.6.0, podczas tworzenia serwera mock w pliku mock-server.service.ts nie jest zapisywane pole wejściowe isPublic, a schema.prisma domyślnie ustawia isPublic na true. Powoduje to, że serwery mock powiązane z prywatnymi kolekcjami są publicznie dostępne bez uwierzytelniania, co może ujawnić wrażliwe dane API.

Podatność w Open WebUI przed wersją 0.10.0 pozwala na obejście normalizacji ścieżki proxy poprzez dziewięciokrotne zakodowanie sekwencji '../' w formacie percent-encoded. Funkcja _sanitize_proxy_path dekoduje ścieżki tylko osiem razy, co umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.

W urządzeniu Allwinner H616 TV Box TV98 w wersji produkcyjnej włączono i wystawiono na sieć ADB. Atakujący może poprosić o autoryzację ADB i uzyskać uprawnienia root, jeśli ofiara zezwoli na dostęp.

W platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, w pewnych niestandardowych konfiguracjach, przetwarzanie przesłanych plików PDF może zostać wykorzystane do zdalnego wykonania kodu (RCE) na serwerze. Podatność została załatana w wymienionych wersjach.

Podatność w Open WebUI przed wersją 0.10.0 umożliwia atakującemu wstrzyknięcie zapytania do konstrukcji URL terminala WebSocket, co pozwala na podszycie się pod innego użytkownika. Dodatkowo, nagłówek X-User-Id w proxy HTTP nie był odpowiednio weryfikowany, co ułatwiało manipulację tożsamością.

W Open WebUI przed wersją 0.10.0, przy skonfigurowanym Redis, uwierzytelnianie połączeń czasu rzeczywistego (Socket.IO, WebSocket) używało funkcji decode_token bez sprawdzania unieważnienia tokena w Redis. Umożliwiało to uwierzytelnianie przy użyciu unieważnionych JWT.

Podatność w Open WebUI przed wersją 0.10.0 pozwala uwierzytelnionym użytkownikom na wykonanie kodu Python lub narzędzi w sesji innego użytkownika. Atakujący może wykorzystać zdarzenia Socket.IO, aby przejąć kontrolę nad sesją ofiary po poznaniu jej identyfikatora gniazda.

Open WebUI przed wersją 0.10.0 uruchamia kod Python po stronie klienta w Pyodide w web workerze tego samego pochodzenia, co pozwala na przechowywanie złośliwych ładunków czatu wykorzystujących pyodide.http.pyfetch lub API fetch i XMLHttpRequest z modułu js. Gdy ofiara kliknie „Uruchom”, wysyłane są uwierzytelnione żądania do tego samego pochodzenia, które mogą dotrzeć do punktów końcowych dostępnych tylko dla administratora i wykonać kod po stronie serwera przez skonfigurowane narzędzia.

W gpsd do wersji 3.27.5 (załatane w commicie 4c06658) wykryto podatność na wstrzykiwanie poleceń w narzędziu gpsprof. Atakujący kontrolujący wartość pola subtype urządzenia GPS może osadzić ładunek w backtickach w tytule wykresu gnuplot, co prowadzi do wykonania dowolnych poleceń powłoki podczas renderowania wykresu przez ofiarę.

Podatność w usłudze RTSP urządzenia Tenda CP3 V3.0 (firmware V31.1.9.91) powoduje, że po otrzymaniu żądania z nadmiernie długim polem (URL lub nagłówek) urządzenie natychmiast zrywa połączenie TCP pakietem RST, zamiast zwrócić zgodną z RFC 2326 odpowiedź błędu. Problem dotyczy wielu typów żądań RTSP.

Podatność przepełnienia bufora na stosie w usłudze RTSP kamery Tenda CP3 V3.0 (firmware V31.1.9.991) umożliwia nieuwierzytelnionemu zdalnemu atakującemu spowodowanie odmowy usługi poprzez spreparowane żądanie TEARDOWN.

Podatność przepełnienia bufora na stosie w usłudze RTSP kamery Tenda CP3 V3.0 (firmware V31.1.9.91) umożliwia nieuwierzytelnionemu zdalnemu atakującemu spowodowanie odmowy usługi poprzez spreparowane żądanie PLAY.

W usłudze RTSP kamery Tenda CP3 V3.0 (firmware V31.1.9.91) występuje podatność na przepełnienie bufora stosu. Nieuwierzytelniony atakujący zdalnie może spowodować awarię usługi, wysyłając spreparowane drugie żądanie SETUP, co prowadzi do odmowy usługi (DoS).

Podatność przepełnienia bufora stosu w usłudze RTSP kamery Tenda CP3 V3.0 (firmware V31.1.9.91) pozwala nieuwierzytelnionemu atakującemu na zdalne spowodowanie odmowy usługi poprzez wysłanie spreparowanego żądania SETUP. Drugi etap analizatora URL w usłudze RTSP nie sprawdza długości pola URL, co umożliwia atakującemu ominięcie walidacji pierwszego etapu i wywołanie przepełnienia bufora stosu, prowadzącego do natychmiastowego awarii procesu RTSP i uniemożliwienia dostępu do urządzenia wszystkim klientom w sieci lokalnej.

W oprogramowaniu sprzętowym Tenda CP3 V3.0 w wersji V31.1.9.91 wykryto przepełnienie bufora oparte na stosie w usłudze RTSP. Urządzenie nie sprawdza długości wartości clock= w nagłówku Range podczas przetwarzania żądania PLAY, co może prowadzić do awarii usługi.

W oprogramowaniu sprzętowym Tenda CP3 V3.0 w wersji V31.1.9.91 brakuje walidacji nagłówka Content-Length w żądaniach RTSP (DESCRIBE, SETUP, PLAY). Gdy żądanie zawiera ten nagłówek bez treści, parser RTSP przechodzi w stan oczekiwania na treść, co trwale blokuje połączenie TCP. Niezautoryzowany atakujący zdalnie może wykorzystać tę lukę do wyczerpania zasobów TCP i spowodowania odmowy usługi (DoS).

Parser HTML (html.parser.HTMLParser) w trybie przyrostowym pozwala na atak DoS na procesor poprzez wielokrotne niezakończone deklaracje znaczników podczas przetwarzania niesterowanych danych.

W skrypcie SourceCodester Simple and Nice Shopping Cart Script 1.0 wykryto podatność na iniekcję SQL w pliku /login.php. Atakujący może zdalnie manipulować argumentem Username, co prowadzi do nieautoryzowanego dostępu do bazy danych. Exploit jest publicznie dostępny.

Aplikacja PayRange na Androida w wersji 7.0.7 i niższych zawiera podatność umożliwiającą ominięcie weryfikacji SSL w widokach webview, co pozwala na akceptowanie nieprawidłowych certyfikatów. Zdalny, nieuwierzytelniony atakujący może przechwycić dane przesyłane przez użytkownika.

W n8n, platformie automatyzacji przepływów pracy open source, przed wersjami 1.123.61, 2.27.4 i 2.28.1 uwierzytelniony użytkownik z domyślnym uprawnieniem workflow:create mógł zanieczyścić Object.prototype poprzez spreparowany przepływ pracy zapisany, zaktualizowany lub zaimportowany za pomocą API przepływów pracy. Umożliwiało to traktowanie nieuwierzytelnionych żądań jako uprzywilejowanego użytkownika i ujawniało punkty końcowe listy użytkowników i projektów.