Katalog podatności CVE

Podatność nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w BdThemes Element Pack Elementor Addons bdthemes-element-pack-lite umożliwia przechowywany XSS. Problem dotyczy Element Pack Elementor Addons: od n/a do 8.8.8.

Podatność braku autoryzacji w Arraytics Booktics booktics umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy Booktics: od n/a do 1.0.28.

Wtyczka Paid Videochat Turnkey Site od VideoWhisper.com do wersji 7.5.13 zawiera podatność braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Broadcast Live Video od VideoWhisper.com do wersji 7.3.6 zawiera podatność braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność nieprawidłowego obsługiwania wysoko skompresowanych danych (Data Amplification) w hex_core pozwala niezaufanemu mirrorowi repozytorium lub serwerowi odpowiadającemu na żądania API hex_core na wyczerpanie pamięci maszyny Erlang VM uruchamiającej hex_core. Ten sam kod jest sprzedawany w Hex (mix_hex_repo, mix_hex_api) i rebar3 (r3_hex_repo, r3_hex_api). Funkcje hex_repo:get_names/1, hex_repo:get_versions/1, hex_repo:get_package/2 i hex_repo:get_policy/2 dekompresują odpowiedź rejestru za pomocą zlib:gunzip/1 i dekodują podpisaną kopertę przed weryfikacją podpisu. Mirror nie ma klucza prywatnego repozytorium, ale wybiera skompresowane bajty, więc mała odpowiedź dekompresuje się do koperty o dowolnym rozmiarze, zanim kontrola podpisu ją odrzuci. hex_api dekoduje odpowiedzi z typem treści application/vnd.hex+erlang przez hex_safe_binary_to_term:safe_binary_to_term/1, który wywołuje binary_to_term(Binary, [safe]). Opcja safe zapobiega tworzeniu atomów, ale akceptuje skompresowane termy i nie ogranicza rozmiaru zdekodowanego termu, a kontrola odrzucająca funkcje i porty działa po zbudowaniu termu. Poprawka dla CVE-2026-21619 dodała opcję safe i tę kontrolę bez ograniczania zdekodowanego rozmiaru. Problem dotyczy rebar3: od 3.9.1 przed 3.27.3; hex: od 2.1.0 przed 2.5.2; hex_core: od 0.1.0 przed 0.20.0.

Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 nie izoluje wystarczająco kodu dostarczonego przez użytkownika, wykonywanego przez niektóre ścieżki ewaluacji REST i XDBC, od stanu żądania HTTP, odpowiedzi i sesji. Atakujący mogący wykonać kod przez podatną ścieżkę może przeprowadzić nieautoryzowane działania lub przejąć uwierzytelnioną sesję.

Podatność w bibliotece hex pozwala niezaufanemu mirrorowi pakietów na wyczerpanie pamięci lub miejsca na dysku maszyny podczas wykonywania poleceń mix deps.get, mix deps.update, mix hex.package fetch lub mix hex.docs fetch. Problem wynika z braku limitów rozmiaru odpowiedzi HTTP, dekompresji gzip oraz rozpakowywania tarballi przed weryfikacją sum kontrolnych.

Podatność typu Path Traversal w bibliotece hex (w wersjach od 0.6.0 do 2.5.2) pozwala złośliwemu wydawcy pakietu na usunięcie katalogu poza katalogiem deps projektu i rozpakowanie plików pakietu do niego, gdy programista pobiera zależności. Etykieta aplikacji w wymaganiach pakietu nie jest walidowana, co pozwala na ustawienie wartości takiej jak ../../target, co prowadzi do usunięcia katalogu i zapisu plików poza projektem.

W @neo4j/graphql w wersjach od 7.0.0 do 7.6.4, kwantyfikator none w filtrach @authorization na relacjach i połączeniach nie jest negowany podczas tłumaczenia na Cypher, więc zachowuje się jak some. Reguła taka jak "żaden z powiązanych zabronionych użytkowników nie pasuje do podmiotu JWT" zwraca dokładnie rekordy, które miała wykluczyć, i wyklucza te, które miała zwrócić. Uwierzytelniony użytkownik, którego taka reguła ma odrzucić, może odczytać chronione rekordy. Dotyczy to również mutacji, więc wrażliwe dane mogą być tworzone i usuwane przez użytkowników, którzy nie powinni mieć do nich dostępu zgodnie z typedefs. Naprawiono w 7.6.4.

W pakiecie @neo4j/graphql w wersjach do 7.6.3 włącznie dyrektywy @authentication stosowane na poziomie schematu lub na typach Query/Mutation są po cichu ignorowane dla pól najwyższego poziomu oznaczonych @cypher. Egzekwowane są tylko dyrektywy @authentication umieszczone bezpośrednio na poszczególnych polach. Aplikacja wystawiająca pole @cypher najwyższego poziomu i polegająca na ochronie na poziomie schematu lub typu pozwala nieuwierzytelnionym wywołującym uruchomić skonfigurowane zapytanie Cypher z uprawnieniami konta usługi GraphQL, co może umożliwić odczyt i modyfikację danych. Poprawiono w 7.6.4.

Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 pozwala zdalnemu atakującemu z delegowanymi uprawnieniami administratora bazy danych wykonywać operacje backupu lub przywracania na lasach (forests) poza autoryzowanym zakresem bazy. Może to skutkować nieautoryzowanym dostępem do danych krytycznych dla bezpieczeństwa lub ich modyfikacją.

Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 pozwala zdalnemu atakującemu z dostępem do wykonywania zapytań wywołać funkcję ewaluacji XQuery bez wymaganego dodatkowego uprawnienia ewaluacyjnego. Może to skutkować wykonaniem kodu po stronie serwera z podwyższonymi uprawnieniami.

Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 może oceniać wartości kontrolowane przez użytkownika dostarczone do niektórych funkcji XQuery wyższego rzędu w podwyższonym kontekście bezpieczeństwa, co może prowadzić do eskalacji uprawnień ponad przyznane atakującemu.

Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 zawiera uprzywilejowane moduły InfoStudio, które nie walidują wystarczająco ścieżek plików i wartości kontekstu użytkownika. Eksploatacja może prowadzić do nieautoryzowanego dostępu do plików serwera lub wykonania pod niezamierzoną tożsamością.

Progress MarkLogic Server na systemach Linux w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która może pozwolić uwierzytelnionemu atakującemu na dostęp do wewnętrznych usług chmurowych, potencjalnie prowadząc do nieautoryzowanego dostępu do poświadczeń chmurowych.

Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 na platformie Azure zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która może pozwolić uwierzytelnionemu atakującemu na dostęp do wewnętrznych usług chmurowych, potencjalnie prowadząc do nieautoryzowanego dostępu do poświadczeń lub tokenów chmurowych.

Progress MarkLogic Server w wersjach 12.x przed 12.1.0 i 11.x przed 11.3.7 zawiera wadę autoryzacji, która może pozwolić zdalnemu atakującemu z uprawnieniami administracyjnymi na dostęp do materiałów uwierzytelniających związanych z użytkownikami o wyższych uprawnieniach, co może prowadzić do nieautoryzowanego dostępu administracyjnego.

Progress MarkLogic Server w wersjach 12.x przed 12.1.0 i 11.x przed 11.3.7 może zapisywać informacje wrażliwe dla bezpieczeństwa w dziennikach diagnostycznych w określonych konfiguracjach. Atakujący z dostępem do tych dzienników może wykorzystać te informacje do uzyskania nieautoryzowanego dostępu do chronionych zasobów.

Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 zawiera podatność XQuery injection w przestarzałej ścieżce pakietu Management API. Zdalny atakujący z uprawnieniami na poziomie manage-user może wykorzystać tę podatność do uzyskania trwałej, nieautoryzowanej kontroli administracyjnej.

Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 zawiera błąd autoryzacji w niektórych operacjach zarządzania lasami. Zdalny atakujący z uprawnieniami do zarządzania lasami może wykorzystać tę wadę do utworzenia trwałego, nieautoryzowanego konta administratora, co może prowadzić do całkowitej nieautoryzowanej kontroli administracyjnej nad serwerem.