Katalog podatności CVE

Podatność w Hex pozwala złośliwemu wydawcy pakietu lub wrogiemu serwerowi repozytorium na wstrzyknięcie sekwencji sterujących terminala do danych wyjściowych zadań Mix. Hex wypisuje dane z repozytorium i usługi wyszukiwania dokumentacji bez neutralizacji znaków kontrolnych.

SWUpdate do wersji 2026.05.1 zawiera podatność na nieprawidłową walidację certyfikatów w pliku crypto/swupdate_cms_verify_openssl.c, która ufa niezaufanym certyfikatom X.509 osadzonym w CMS SignedData do budowania łańcucha zaufania. Atakujący posiadający klucz podpisujący od pośredniego certyfikatu w tym samym łańcuchu głównym może osadzić ten certyfikat w podpisie, aby zainstalować złośliwe aktualizacje.

Gumlet php-image-resize przed wersją 3.0.1 zawiera podatność na odmowę usługi, ponieważ konstruktor ImageResize w pliku lib/ImageResize.php przekazuje obrazy do funkcji GD imagecreatefrom* bez ograniczeń liczby pikseli. Zdalni atakujący mogą przesyłać małe, wysoko skompresowane obrazy, które dekompresują się do dużych bitmap, wyczerpując pamięć PHP i kończąc proces roboczy.

Thelia przed wersją 3.1.2 i 3.2.x przed 3.2.1 zawiera podatność na nieograniczone przesyłanie plików, która pozwala uwierzytelnionym użytkownikom panelu administracyjnego na przesyłanie plików PHP przez dodanie spacji na końcu nazwy pliku. FileProcessorService waliduje surową nazwę pliku, ale FileManager::sanitizeFileName() usuwa spację, przechowując wykonywalny plik .php w public/cache/documents/ w celu wykonania kodu jako użytkownik serwera WWW.

Thelia przed wersją 3.1.2 oraz wersje 3.2.x przed 3.2.1 zawiera podatność wstrzykiwania formuł CSV, która pozwala nieuwierzytelnionym odwiedzającym wstrzykiwać formuły arkusza kalkulacyjnego poprzez podanie spreparowanych pól rejestracji, zamówienia lub newslettera.

Thirty bees do wersji 1.7.0 zawiera podatność na ominięcie uwierzytelniania w funkcji PasswordController::resolveCustomer(), która pozwala nieuwierzytelnionym atakującym na resetowanie haseł zarejestrowanych klientów przy użyciu tokenów kont gości. Atakujący mogą złożyć zamówienie jako gość z adresem e-mail ofiary, a następnie użyć klucza bezpieczeństwa gościa do zresetowania i przejęcia konta ofiary, gdy opcja zamówień gościnnych jest włączona.

QloApps do wersji 1.7.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w AJAX-owych handlerach panelu administracyjnego, które pomijają sprawdzenia htl_access dla hoteli.

Pimcore do wersji 2026.3.1 zawiera podatność przechowywanego cross-site scripting, która pozwala uwierzytelnionym użytkownikom backendu na wstrzykiwanie skryptów poprzez przechowywanie nieuciekanych URL-i w polach ExternalImage.

Square Squash do commita e73f280 zawiera podatność na niezabezpieczoną deserializację, która pozwala nieuwierzytelnionym atakującym na przechowywanie spreparowanych danych YAML przez endpoint POST /api/1.0/symbolication. Gdy wystąpienia odwołujące się do kontrolowanego przez atakującego UUID symbolizacji są symbolizowane, przechowywane wartości są przekazywane do YAML.load z SafeYAML w trybie niebezpiecznym, umożliwiając deserializację dowolnych obiektów Ruby i potencjalne wykonanie kodu.

W Quay uwierzytelniony atakujący może uzyskać dostęp do konfiguracji automatycznego czyszczenia (auto-prune) repozytoriów z innych przestrzeni nazw, co prowadzi do nieautoryzowanego ujawnienia informacji. Problem wynika z braku odpowiedniego egzekwowania zakresu przestrzeni nazw podczas pobierania szczegółów polityki.

W Red Hat Quay znaleziono wadę w API zarządzania triggerami budowania, które nie weryfikuje, czy żądany trigger należy do określonego repozytorium.

W Netcore NR268 w wersji 1.7.121109 znaleziono podatność. Dotyczy ona funkcji filter_arp_put_file_cgi w pliku /router/filter_arp_put_file.cgi. Manipulacja argumentem put_file prowadzi do odczytu poza zakresem. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.

Podatność w Shenzhen HCC Technology MPOS M6 PLUS 1.31-N dotyczy nieznanej funkcjonalności komponentu Display QR Code Rendering. Manipulacja argumentem alignment prowadzi do nieprawidłowego ograniczenia warstw UI. Atak możliwy tylko z sieci lokalnej.

W Exponent CMS do wersji 3.0.2patch2 znaleziono podatność. Dotyczy ona funkcji userLogin w pliku xmlrpc.php komponentu XML-RPC. Taka manipulacja prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.

W tobychui zoraxy do wersji 3.3.4 znaleziono wadę. Dotyczy ona funkcji handleBasicAuth w pliku mod/dynamicproxy/authProviders.go komponentu Path Exception Matcher. Manipulacja argumentem PathPrefix powoduje nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Aktualizacja do wersji 3.3.5-rc1 naprawi ten problem. Nazwa poprawki: 37cd0f27b17cd15cfa4af409bfec943146f5fdfe. Zalecane jest zaktualizowanie komponentu.

Funkcja Email/Messages w back-office Thelia 3.0.0 zawiera podatność na wstrzyknięcie szablonów po stronie serwera (SSTI), pozwalającą uwierzytelnionemu użytkownikowi z uprawnieniem „Messages” na dostarczenie nieosadzonych w piaskownicy szablonów Twig, które są kompilowane i wykonywane jako surowy kod. Może to prowadzić do pełnego przejęcia aplikacji i hosta.

Podatność w menedżerze pakietów hex pozwala właścicielowi pakietu lub osobie przejmującej konto właściciela na opublikowanie nowej wersji z pominięciem limitu czasu (cooldown) dla wieku wydania. Mechanizm cooldownu, który blokuje zbyt świeże wersje, może zostać obejściy przez wycofanie aktualnie zablokowanej wersji, co powoduje, że następna aktualizacja wybierze nową wersję niezależnie od jej wieku. Problem dotyczy wersji hex od 2.5.0 do przed 2.5.2.

Podatność nieprawidłowej walidacji sumy kontrolnej w hex pozwala mirrorowi pakietów na podmianę tarballa, który mix hex.package fetch PACKAGE VERSION --output - zapisuje na standardowe wyjście.

Podatność nieprawidłowej walidacji certyfikatów w hex pozwala atakującemu, który może przechwytywać połączenia HTTPS i posiada certyfikat dla hosta Hex wydany przez CA znajdujący się w dołączonym magazynie CA, na podszywanie się pod ten host wobec użytkowników, którzy ustawili cacerts_path na magazyn CA nie zawierający tego CA.

Podatność w rebar3 pozwala złośliwemu wydawcy pakietu na usunięcie katalogu poza katalogiem _build oraz umieszczenie w nim plików z pakietu podczas pobierania zależności. Pole app w zależnościach Hex jest używane bez walidacji jako nazwa katalogu, co umożliwia ścieżkę typu ../../../../target. Problem dotyczy wersji rebar3 od 3.7.0-rc1 do przed 3.27.2.