Katalog podatności CVE

W systemie ruoyi-vue-pro do wersji 2026.08 wykryto lukę w funkcji validOAuthClientFromCache w pliku OAuth2ClientServiceImpl.java. Manipulacja argumentem redirect_uri prowadzi do otwartego przekierowania. Exploit jest publicznie dostępny, a producent nie odpowiedział.

Omni C20 wykorzystuje zakodowane na stałe poświadczenia, które mogą pozwolić atakującemu na monitorowanie plików dziennika w celu uzyskania danych dostępowych do informacji, takich jak dane mapowania.

Firmware kamery Botslab G980H zawiera lukę w zabezpieczeniach konta root dostępnego przez interfejs UART. Konto nie wymaga hasła, a interfejs wyświetla hasło WiFi podczas rozruchu. Atakujący z fizycznym dostępem może uzyskać uprawnienia root i odzyskać hasło WiFi.

Firmware kamery Botslab G980H generuje domyślne hasło WiFi na podstawie przewidywalnych informacji o urządzeniu, z których część jest publicznie znana. Atakujący w zasięgu WiFi może odgadnąć pozostałe znaki hasła i uzyskać nieautoryzowany dostęp do sieci urządzenia.

Krayin CRM do wersji 2.2.6 zawiera podatność typu stored client-side template injection, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników poprzez wstrzyknięcie wyrażeń szablonu Vue.js w polu opisu formularza internetowego. Atakujący może utworzyć opis zawierający podwójne nawiasy klamrowe, co prowadzi do wykonania złośliwego kodu dla każdego użytkownika przeglądającego formularz.

Krayin CRM do wersji 2.2.6 zawiera podatność typu stored client-side template injection, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników poprzez wstrzyknięcie wyrażeń szablonu Vue.js w polu nazwy produktu. Atakujący może utworzyć nazwę produktu zawierającą podwójne nawiasy klamrowe, co prowadzi do wykonania złośliwego kodu dla każdego użytkownika przeglądającego rekord produktu.

Krayin CRM do wersji 2.2.6 zawiera podatność typu stored client-side template injection, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników poprzez wstrzyknięcie wyrażeń szablonu Vue.js w polu nazwy osoby. Atakujący może utworzyć nazwę osoby zawierającą podwójne nawiasy klamrowe, co prowadzi do wykonania złośliwego kodu dla każdego użytkownika przeglądającego rekord osoby.

Krayin CRM do wersji 2.2.6 zawiera podatność typu stored client-side template injection, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników poprzez wstrzyknięcie wyrażeń szablonu Vue.js w polu tytułu leada. Atakujący może utworzyć tytuł leada zawierający podwójne nawiasy klamrowe, co prowadzi do wykonania złośliwego kodu dla każdego użytkownika przeglądającego rekord leada.

W systemie ruoyi-vue-pro do wersji 2026.08 wykryto lukę w funkcji getOriginalFilename w pliku MpMaterialServiceImpl.java w komponencie File Upload. Manipulacja prowadzi do path traversal. Exploit jest publicznie dostępny, a producent nie odpowiedział.

W projekcie ruoyi-vue-pro (YunaiV/zhijiantianya) do wersji 2026.08 wykryto podatność w komponencie File Upload, w pliku FileController.java. Manipulacja danymi wejściowymi prowadzi do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W projekcie ruoyi-vue-pro (YunaiV/zhijiantianya) do wersji 2026.08 wykryto podatność w komponencie GoView Data Endpoint, w funkcji GoViewDataServiceImpl.getDataBySQL. Manipulacja argumentem sql prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W YunaiV/zhijiantianya ruoyi-vue-pro do wersji 2026.08 funkcja AiKnowledgeDocumentServiceImpl.readUrl w pliku AiKnowledgeDocumentServiceImpl.java (komponent AI Knowledge Module) umożliwia atakującemu zdalne wywołanie podatności Server-Side Request Forgery poprzez manipulację argumentem url. Exploit został opublikowany, a dostawca zdecydował o zachowaniu obecnego zachowania bez zmian w kodzie.

W bibliotece PyMongo (sterownik MongoDB dla Pythona) parsowanie ciągu połączenia dekoduje znaki zakodowane procentowo w części hosta przed rozdzieleniem listy hostów. Gdy aplikacja umieszcza nazwę hosta dostarczoną przez nieuwierzytelnioną stronę w ciągu połączenia, strona ta może dodać dodatkowe serwery do klienta bazy danych aplikacji. Aplikacja może następnie wysłać wymianę uwierzytelniającą i operacje bazodanowe do jednego z tych serwerów, który może obserwować ograniczone informacje i zwracać zmienione wyniki.

Wsparcie szyfrowania na poziomie pól po stronie klienta w sterowniku MongoDB dla Pythona może traktować wartość punktu końcowego zarządzania kluczami kończącą się na '.sock' jako lokalną ścieżkę gniazda Unix zamiast zdalnego hosta. Użytkownik z prawem zapisu do metadanych klucza szyfrowania przechowywanych w bazie danych może spowodować, że aplikacja używająca sterownika otworzy połączenia do lokalnych gniazd na hoście aplikacji. Dane przesyłane tymi połączeniami są ograniczone do początku uzgadniania TLS, więc nie są przesyłane żadne wybrane treści.

TREK to wspólny planer podróży. Przed wersją 3.4.0 logika checkSsrf w pliku server/src/utils/ssrfGuard.ts nie rozpoznaje adresów przejściowych IPv6 NAT64, 6to4 lub Teredo, które kodują docelowy adres IPv4. Uwierzytelniony użytkownik kontrolujący rekord DNS może podać URL, którego wynik AAAA jest adresem przejściowym zawierającym prywatny, loopback lub link-local adres IPv4, a isAlwaysBlocked i isPrivateNetwork klasyfikują ten adres jako dozwolony. W środowisku, które routuje odpowiedni format przejściowy, importy, webhooki, integracje lub wyjście wtyczek mogą dotrzeć do usług wewnętrznych lub metadanych chmury i ujawnić zwrócone informacje. Problem naprawiono w wersji 3.4.0.

TREK to wspólny planer podróży. Przed wersją 3.3.0 narzędzie get_trip_summary w pliku server/src/mcp/tools/trips.ts jest zarejestrowane dla tokenów OAuth MCP o ograniczonym zakresie bez wymagania trips:read i zwraca podstawowe dane podsumowania podróży niezależnie od delegowanych zakresów. Token przyznany tylko niepowiązanej zdolności, takiej jak weather:read, może otrzymać metadane podróży, adresy e-mail członków z server/src/services/tripService.ts, dni planu i zakwaterowanie dla każdej podróży dostępnej dla użytkownika tokenu. Autoryzacja między użytkownikami pozostaje egzekwowana, ale brak sprawdzenia zakresu narusza granicę najmniejszych uprawnień i ujawnia treść podróży oraz dane kontaktowe osób trzecich klientowi MCP, który nie był upoważniony do ich odczytu. Problem naprawiono w wersji 3.3.0.

TREK to wspólny planer podróży. Przed wersją 3.3.0 funkcja getSharedTripData w pliku server/src/services/shareService.ts zwraca dni, przypisania, notatki dzienne i miejsca przez GET /api/shared/:token nawet gdy właściciel podróży wyłączy share_map. Klient ukrywa mapę, ale publiczna odpowiedź JSON nadal zawiera plan i nazwy miejsc, współrzędne, adresy, opisy, notatki i ceny. Każdy posiadający ważny token udostępniania może zatem odczytać informacje o lokalizacji i trasie, które właściciel wyraźnie zdecydował się nie udostępniać, chociaż losowy token jest nadal wymagany, a luka nie pozwala na modyfikację. Problem naprawiono w wersji 3.3.0.

Docmost to oprogramowanie open source do współpracy i dokumentacji. Od wersji 0.21.0 do 0.95.0 każdy uwierzytelniony członek przestrzeni roboczej z prawem edycji może przesłać archiwum do funkcji importu strony, której procedura rozpakowywania ZIP nie ogranicza całkowitego rozmiaru po rozpakowaniu, rozmiaru pojedynczego wpisu ani liczby wpisów. Ekstraktor zapisuje wpisy w katalogu tymczasowym serwera i automatycznie rozpakowuje jeden zagnieżdżony ZIP, co pozwala zewnętrznemu przesłaniu w domyślnym limicie 200 MB rozszerzyć się o wiele GB. Wynikające z tego wyczerpanie miejsca na dysku może spowodować awarię procesu importu i pogorszenie lub zatrzymanie działania instancji dla wszystkich najemców. Problem naprawiono w wersji 0.95.0.

Dozzle to przeglądarka logów w czasie rzeczywistym dla kontenerów Docker. Przed wersją 10.6.7 funkcja streamEvents w pliku internal/web/events.go stosuje filtr etykiet ograniczonego użytkownika do list kontenerów, ale nie do kanałów statystyk kontenerów i zdarzeń kontenerów zwracanych przez GET /api/events/stream. W prostym wdrożeniu uwierzytelniania z filtrami na użytkownika każde uwierzytelnione konto o ograniczonym zakresie może otrzymywać dane telemetryczne i zdarzenia cyklu życia dla kontenerów poza swoim autoryzowanym zakresem etykiet. Ujawnione dane obejmują nazwy kontenerów, obrazy, pełne mapy etykiet, użycie CPU i pamięci, sumy sieciowe i dyskowe oraz aktywność wdrożeń lub restartów na monitorowanych hostach, ale nie obejmują zawartości logów, wartości środowiskowych ani dostępu exec. Problem naprawiono w wersji 10.6.7.

Dell Rugged Control Center (RCC) w wersjach przed 5.2.206 zawiera podatność niewłaściwej autoryzacji. Użytkownik z niskimi uprawnieniami mający dostęp lokalny może ją wykorzystać do podniesienia uprawnień.