Katalog podatności CVE

Docmost przed wersją 0.90.1 pozwala uwierzytelnionemu administratorowi obszaru roboczego zaprosić zewnętrzny adres e-mail z rolą OWNER, ponieważ limit ról nie blokuje nadawania uprawnień wyższych niż własne. Po zaakceptowaniu zaproszenia nowe konto otrzymuje uprawnienia właściciela, co umożliwia utworzenie backdoora lub promowanie współpracującego użytkownika.

Docmost przed wersją 0.90.1 pozwala uwierzytelnionemu członkowi obszaru roboczego, który nie należy do prywatnej przestrzeni, wywołać API wyszukiwania transclusion/sync-block ze znaną parą sourcePageId i transclusionId, ponieważ wyszukiwanie nie sprawdza członkostwa w prywatnej przestrzeni. API może zwrócić poufne treści i metadane strony źródłowej, mimo że normalne API odmawia dostępu.

Docmost od wersji 0.70.0 do 0.80.1 pozwala użytkownikowi z niskimi uprawnieniami, który może edytować eksportowalną stronę, osadzić sfałszowany attachmentId należący do zastrzeżonej strony w tej samej przestrzeni. Eksport strony z includeAttachments=true powoduje odczyt zastrzeżonego załącznika i dołączenie go do archiwum ZIP, mimo że bezpośrednie pobranie pliku jest zabronione.

Docmost przed wersją 0.80.1 posiada publiczny endpoint obrazów awatara i logo, który przyjmuje kontrolowane przez atakującego segmenty ścieżki fileName i rozwiązuje je względem lokalnego magazynu bez ograniczenia do docelowego katalogu obrazów. Nieuwierzytelniony atakujący może wyjść poza katalog awatara lub logo i odczytać lokalne obiekty magazynu, których nazwa bazowa spełnia sprawdzenie UUID trasy.

W volotat Anagnorisis do wersji 0.4.2 wykryto podatność w funkcjach get_file_content, save_file_content, move_files i start_streaming w pliku page.html. Manipulacja powoduje path traversal, a atak można zainicjować zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

Mailspring przed wersją 1.17.0 w szybkim podglądzie załączników konwertuje załączniki Markdown, DOCX i XLSX za pomocą Snarkdown, Mammoth i SheetJS, a wynikowy HTML wstawia do dokumentu podglądu przez innerHTML bez sanityzacji. Zdalny nadawca może przygotować obsługiwany załącznik, którego przekonwertowany HTML wykona skrypt, gdy odbiorca otworzy szybki podgląd. Wstrzyknięty skrypt może dotrzeć do powierzchni IPC udostępnionej rendererowi szybkiego podglądu.

Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0 renderował kontrolowane przez atakującego nazwy plików przesyłanych w fragmentach wiadomości czatu jako niesanityzowany HTML. Użytkownik mogący przesłać plik i wysłać treść czatu mógł umieścić znaczniki w nazwie pliku, które były interpretowane przez listy kanałów czatu, e-maile z podsumowaniem czatu, przypięte paski wiadomości, podglądy odpowiedzi i inne renderery fragmentów. Podatność umożliwiała wstrzyknięcie zaufanego HTML, ale nie wykazano wykonania JavaScript przy domyślnych ustawieniach CSP.

Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0 mógł ponownie parsować kontrolowane przez dostawcę tytuły filmów w leniwych osadzeniach wideo jako HTML podczas generowania e-maili powiadomień lub podsumowań czatu. Użytkownik z podstawowymi uprawnieniami do publikowania mógł utworzyć post dla włączonego dostawcy YouTube, Vimeo lub TikTok, którego tytuł zawierał znaczniki, a ścieżka renderowania e-maili i podsumowań czatu umieszczała te znaczniki w wyniku zamiast traktować je wyłącznie jako tekst. Odbiorcy używający klientów poczty obsługujących HTML mogli zobaczyć wstrzykniętą treść, potencjalnie w tym procedury obsługi zdarzeń, ale podatność nie ujawniała bezpośrednio sesji przeglądarki Discourse ani nie wpływała na samą stronę forum.

Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0 interpolował wolną wartość action_code_who do atrybutów href linków wzmianek bez kodowania URL. Nazwa wyświetlana zawierająca cudzysłów mogła zakończyć zamierzony atrybut URL i wstrzyknąć kontrolowane przez atakującego elementy do zaufanego renderowanego znacznika. Chociaż widoczny tekst wzmianki był escapowany, niezakodowany komponent ścieżki umożliwiał trwałe wstrzyknięcie HTML, gdy inny użytkownik wyświetlił dotkniętą akcję tematu lub dziennik aktywności.

W frameworku ESP-IDF w wersjach 5.5.5, 6.0.1 i 6.1 funkcja BlueDroid A2DP sink btc_a2dp_sink_handle_inc_media() odczytuje pole znacznika czasu z bufora mediów przed sprawdzeniem, czy pakiet w ogóle zawiera to pole. Sparowane źródło audio BR/EDR w zasięgu radiowym może wysłać zniekształcony pakiet A2DP, powodując odczyt poza zakresem bufora do sąsiedniej pamięci sterty i ograniczone ujawnienie jej zawartości.

W platformie Wazuh od wersji 3.8.0 do 4.14.7 funkcja _getattributes() w src/os_xml/os_xml.c rekurencyjnie przetwarza każdy atrybut XML bez limitu głębokości, alokując przy tym dwa duże bufory lokalne w każdej ramce stosu. Zarejestrowany agent może wysłać zdarzenie Windows EventChannel z elementem o dużej liczbie atrybutów, wyczerpując stos wątku roboczego analysisd i powodując błąd segmentacji oraz przerwanie zbierania logów.

Biblioteka xhtml-purifier w wersjach przed 0.4.3 nie koduje encjami HTML wartości atrybutów podczas serializacji oczyszczonego wyniku. W funkcji attributeString() wartość atrybutu jest wstawiana bezpośrednio do atrybutu w cudzysłowie, więc wartość kontrolowana przez atakującego może zawierać cudzysłów i wstrzyknąć dodatkowy atrybut, np. obsługę zdarzenia JavaScript.

W bibliotece Python Social Auth w wersjach przed 5.0.0 mechanizm wznawiania częściowego potoku akceptował partial_token jako poświadczenie bez powiązania go z sesją przeglądarki, która go utworzyła. Aplikacje używające wznawialnych kroków częściowego potoku mogły pozwolić atakującemu na rozpoczęcie przepływu uwierzytelniania i zmuszenie przeglądarki ofiary do jego wznowienia.

W bibliotece Python Social Auth w wersjach przed 5.0.0 backend LoginRadius nie weryfikował parametru OAuth state podczas przepływu uwierzytelniania. Aplikacje korzystające z tego backendu były podatne na login CSRF, a atakujący mógł spowodować uwierzytelnienie przeglądarki ofiary przy użyciu kontrolowanego przez siebie tokenu LoginRadius.

W bibliotece Python Social Auth w wersjach przed 5.0.0 backend Vend OAuth2 używał wyłącznie numerycznego identyfikatora user_id jako UID w social-auth. Gdy wiele sklepów Vend uwierzytelnia się przez tę samą aplikację, użytkownicy z różnych sklepów o tym samym wewnętrznym identyfikatorze mogli kolidować w tabeli powiązań social-auth.

W bibliotece Python Social Auth w wersjach przed 5.0.0 backend SAML akceptował odpowiedzi SAML na punkcie Assertion Consumer Service bez sprawdzenia, czy odpowiadają wcześniej wysłanemu AuthnRequest. Aplikacje używające powiązania kont SAML mogły pozwolić atakującemu z ważnym kontem u zaufanego dostawcy tożsamości na powiązanie swojej tożsamości SAML z lokalnym kontem zalogowanej ofiary.

W aplikacji Habitica od wersji 4.172.1 do 5.48.2 parametr zapytania w trasie /api/v3/groups/:groupId/members nie jest sanityzowany przed użyciem jako wyrażenie regularne. Uwierzytelniony użytkownik może podać kosztowne obliczeniowo wyrażenie regularne, które pogorszy wydajność aplikacji lub zatrzyma procesy Node.js.

Odczyt poza zakresem w funkcji XListInputDevices() w libXi przed wersją 1.8.4 może być wykorzystany przez złośliwe serwery X do spowodowania awarii podłączonego klienta X.

Odczyt poza zakresem w funkcji XListInputDevices() w libXi przed wersją 1.8.4 może być wykorzystany przez złośliwe serwery X do spowodowania awarii podłączonego klienta X.

Odczyt poza zakresem w parsowaniu odpowiedzi XIQueryDevice w libXi przed wersją 1.8.4 może być wykorzystany przez złośliwy serwer X do spowodowania awarii podłączonego klienta X.