Katalog podatności CVE

W module Custom Reports w Progress MOVEit Transfer wykryto podatność polegającą na braku zwalniania pamięci po zakończeniu jej użytecznego okresu życia. Problem dotyczy wersji 2025.0.0 przed 2025.0.8, 2025.1.0 przed 2025.1.4 oraz 2026.0.0 przed 2026.0.1.

W Progress MOVEit Transfer w module Custom Reports wykryto podatność polegającą na niewłaściwej neutralizacji specjalnych elementów w logice zapytań do danych. Umożliwia to atakującemu manipulację zapytaniami, co może prowadzić do nieautoryzowanego dostępu do danych.

Podatność SQL injection w n8n przed wersjami 1.123.61, 2.x przed 2.27.4 oraz 2.28.x przed 2.28.1 występuje w legacy węźle MySQL v1 podczas operacji executeQuery. Wartości z wyrażeń {{ ... }} są podstawiane bezpośrednio do surowego zapytania SQL bez parametryzacji, co umożliwia atakującemu wstrzyknięcie dowolnego kodu SQL przez dane wejściowe docierające do tych wyrażeń, gdy przepływ pracy jest podłączony do zewnętrznie dostępnego wyzwalacza (np. Webhook).

Wtyczka Grav API przed wersją 1.0.0-rc.16 akceptuje tokeny JWT w parametrze URL ?token= i odpowiada nagłówkiem Access-Control-Allow-Origin: *, co pozwala nieuwierzytelnionym atakującym na wykonywanie w pełni uwierzytelnionych żądań API z dowolnej złośliwej strony. Atakujący, którzy zdobędą wyciekły token JWT z logów dostępu, logów proxy, historii przeglądarki lub nagłówków Referrer, mogą utworzyć trwałe konta super-admina i wykraść wrażliwe dane konfiguracyjne oraz użytkowników.

Podatność w n8n przed wersjami 1.123.55, 2.25.7 i 2.26.2 umożliwia ominięcie autoryzacji w punkcie końcowym POST /workflows/{workflowId}/test-runs/new. Zamiast wymaganego zakresu workflow:execute używany jest workflow:read, co pozwala uwierzytelnionemu użytkownikowi z dostępem tylko do odczytu na uruchomienie testowego wykonania przepływu pracy.

FreeRDP przed wersją 3.22.0 zawiera podatność use-after-free w funkcjach dvcman_channel_close i dvcman_call_on_receive z powodu nieprawidłowej synchronizacji dostępu do channel_callback. Złośliwy serwer RDP może wywołać wyścig poprzez jednoczesne wysyłanie komunikatów DYNVC_DATA i DYNVC_CLOSE, powodując użycie sterty po zwolnieniu w wątku klienta drdynvc, co może umożliwić zdalne wykonanie kodu lub odmowę usługi.

Podatność w Capgo przed wersją 12.128.2 pozwala kluczom API z ograniczeniami do przesyłania modyfikować pole app_versions.r2_path przez PostgREST, co umożliwia przekierowanie do dowolnych obiektów R2. Atakujący może ustawić r2_path na obiekt ofiary, usunąć swoją wersję i wywołać funkcję czyszczącą on_version_update, która usunie obiekt ofiary, powodując denial of service.

Podatność w Capgo przed wersją 12.128.2 umożliwia złamanie kontroli dostępu w API zarządzania organizacjami. Klucz API z ograniczeniem do konkretnych organizacji dziedziczy uprawnienia właściciela, co pozwala na destrukcyjne operacje międzyorganizacyjne.

Podatność w Capgo przed wersją 12.128.2 umożliwia nieuwierzytelnionym atakującym dostęp do wrażliwych danych organizacyjnych użytkowników poprzez funkcję RPC public.get_orgs_v6. Funkcja ta, zdefiniowana jako SECURITY DEFINER i przypisana do roli anon, nie weryfikuje zgodności identyfikatora UUID użytkownika z uwierzytelnionym kontekstem.

Produkt Dell PowerProtect Data Domain w wielu wersjach zawiera podatność nieprawidłowej autoryzacji. Niskouprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę lukę, prowadząc do nieautoryzowanego dostępu.

Produkt Dell PowerProtect Data Domain w wielu wersjach zawiera podatność na przepełnienie lub zawinięcie liczby całkowitej. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę, powodując odmowę usługi (DoS).

W Dgraph przed wersją 25.3.4 wykryto podatność na wstrzykiwanie DQL w zapytaniu GraphQL `checkUserPassword`. Wartości haseł dostarczane przez użytkownika są bezpośrednio interpolowane do zapytania DQL `checkpwd()` za pomocą `fmt.Sprintf` bez żadnego oczyszczania lub parametryzacji. Atakujący może wstrzyknąć hasło zawierające cudzysłów, aby wydostać się z literału łańcuchowego DQL i dołączyć dowolne bloki zapytań DQL.

Produkt Dell PowerProtect Data Domain w wielu wersjach zawiera podatność na przechowywany skrypt krzyżowy (stored XSS). Niezautoryzowany atakujący zdalnie może wykorzystać tę lukę.

Omnissa Workspace ONE Tunnel dla Windows zawiera lukę umożliwiającą lokalną eskalację uprawnień. Atakujący z dostępem do systemu może wykorzystać tę podatność do uzyskania wyższych uprawnień.

W Tanium Server wykryto podatność na atak typu „odmowa usługi” (DoS). Luka ta może pozwolić atakującemu na zakłócenie działania serwera.

Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPress jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'email' we wszystkich wersjach do 1.8.8 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i braku odpowiedniego kodowania wyjścia.

Wtyczka LatePoint dla WordPressa do 5.4.0 zawiera podatność na nieprawidłową walidację danych wejściowych w procesorze płatności Stripe Connect. Pozwala to nieuwierzytelnionym atakującym na zapłacenie dowolnej kwoty poprzez dostarczenie wcześniej udanego tokena PaymentIntent.

Wtyczka My Calendar – Accessible Event Manager dla WordPressa jest podatna na ślepe wstrzykiwanie SQL oparte na czasie przez parametr 'mc_auth' w wersjach do 3.7.8 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPress jest podatna na przechowywany atak XSS przez parametr 'special_requests' w wersjach do 1.8.8 włącznie. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Tainacan dla WordPressa jest podatna na czasową ślepą iniekcję SQL przez parametr 'geoquery' we wszystkich wersjach do 1.0.3 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.