Katalog podatności CVE

W Apache Camel wykryto podatność polegającą na nieprawidłowej walidacji danych wejściowych. Luka umożliwia atakującemu wprowadzenie złośliwych danych, co może prowadzić do nieoczekiwanego zachowania aplikacji.

Podatność w SUSE Rancher Fleet umożliwia fałszowanie nieuwierzytelnionych żądań webhook, co może być wykorzystane przez zdalnego atakującego do przeprowadzenia ataku typu odmowa usługi (DoS) lub ataku polegającego na obniżeniu wersji (downgrade) na innych repozytoriach w systemie. Problem dotyczy wersji 0.15 przed 0.15.2, 0.14 przed 0.14.6, 0.13 przed 0.13.11 oraz 0.12 przed 0.12.5.

W Red Hat Advanced Cluster Security for Kubernetes (RHACS) stwierdzono brak ograniczenia głębokości zapytań GraphQL w interfejsie API Central. Uwierzytelniony użytkownik z ważnym tokenem API może wysyłać głęboko zagnieżdżone zapytania, powodując nadmierne zużycie zasobów i odmowę usługi dla płaszczyzny zarządzania.

Podatność w komponencie Iggy frameworku Apache Camel umożliwia atakującemu wstrzyknięcie nagłówków kontrolnych Camel, w tym CamelHttpUri, poprzez opublikowanie wiadomości do konsumowanego strumienia/tematu Iggy. W rezultacie, w trasie z konsumentem Iggy i producentem HTTP, atakujący może przekierować żądanie HTTP po stronie serwera do dowolnego celu (SSRF) oraz, poprzez rozwiązywanie placeholderów, ujawnić zmienne środowiskowe, właściwości aplikacji i sekrety z vaultu.

Podatność w komponencie Atmosphere Websocket w Apache Camel umożliwia atakującemu wstrzyknięcie wewnętrznych nagłówków sterujących Camel przez parametry zapytania WebSocket. Prowadzi to do fałszowania żądań po stronie serwera (SSRF) oraz ujawnienia wrażliwych informacji, takich jak zmienne środowiskowe, właściwości aplikacji i sekrety z vaultów.

Podatność w Apache Camel w komponencie Vertx Websocket pozwala atakującemu na wstrzyknięcie nagłówków sterujących Camel, w tym CamelHttpUri, poprzez parametry zapytania WebSocket. Prowadzi to do fałszowania żądań po stronie serwera (SSRF) oraz ujawnienia wrażliwych informacji, takich jak zmienne środowiskowe, właściwości aplikacji i sekrety z vaultu. Problem dotyczy wersji od 4.0.0 do 4.14.7, od 4.15.0 do 4.18.2 oraz od 4.19.0 do 4.20.0.

Podatność w komponencie Apache Camel CXF SOAP umożliwia atakującemu manipulację nagłówkami operationName/operationNamespace w celu wywołania niezamierzonej operacji WSDL na backendzie. Brak prefiksu Camel w tych nagłówkach powoduje, że nie są one filtrowane na granicy HTTP, co pozwala na przekazanie ich z żądania HTTP do Exchange. W rezultacie atakujący może podmienić operację odczytu na destrukcyjną, działając jako 'confused deputy'.

Podatność w komponencie Neo4J frameworka Apache Camel umożliwia wstrzyknięcie kodu Cypher poprzez nazwy właściwości w mapie CamelNeo4jMatchProperties. Mimo że wartości właściwości są wiązane jako parametry, nazwy kluczy JSON są konkatenowane bezpośrednio do zapytania, co pozwala atakującemu na modyfikację struktury zapytania i wykonanie dowolnych operacji na bazie Neo4j.

Podatność deserializacji niezaufanych danych w komponencie camel-pqc Apache Camel umożliwia zdalne wykonanie kodu poprzez spreparowany obiekt Java. Luka wynika z braku filtrowania podczas odczytu metadanych kluczy post-kwantowych z backendów HashiCorp Vault, AWS Secrets Manager oraz lokalnego pliku.

W komponencie Lucene w Apache Camel wykryto podatność polegającą na niewłaściwej walidacji danych wejściowych i obejściu autoryzacji poprzez kontrolowany przez użytkownika klucz. Atakujący może ustawić nagłówek QUERY w żądaniu HTTP, co pozwala na wykonanie dowolnego zapytania Lucene, w tym odczytanie całego indeksu lub wykonanie kosztownych zapytań regex, bez wymaganych uprawnień.

Podatność w komponencie camel-nats Apache Camel umożliwia wstrzykiwanie nagłówków kontrolnych Camel przez wiadomości NATS. Brak filtrowania nagłówków powoduje, że atakujący może modyfikować zachowanie tras Camel, np. przekierowywać żądania HTTP lub zmieniać nazwy plików.

W SUSE Rancher AI Agent w wersji 1.0 przed 1.0.2, gdy ustawiono poziom logowania DEBUG, może dojść do wycieku kluczy API lub treści odpowiedzi LLM zawierających potencjalnie wrażliwe dane do plików dziennika. Lokalny atakujący może wykorzystać te dane lub poświadczenia.

Podatność w Apache Camel (komponenty JMS) umożliwia deserializację niezaufanych danych przez obejście poprawki CVE-2026-40860. Atakujący może opublikować wiadomość JMS ObjectMessage z obiektem DefaultExchangeHolder, który jest akceptowany przez listę dozwolonych klas, a następnie zapisać dowolne dane do wymiany Camel, manipulując routingiem, nagłówkami i właściwościami.

Podatność deserializacji niezaufanych danych w komponencie camel-hazelcast Apache Camel. Domyślna konfiguracja Hazelcast nie stosuje filtra deserializacji, co pozwala atakującemu na zdalne wykonanie kodu poprzez wysłanie spreparowanego obiektu Java do klastra Hazelcast. Problem dotyczy wersji 4.0.0 przed 4.14.8, 4.15.0 przed 4.18.3 oraz 4.19.0 przed 4.21.0.

Podatność deserializacji niezaufanych danych w Apache Camel umożliwia atakującemu wywołanie zapytań DNS poprzez dostarczenie spreparowanego ładunku Java. Problem dotyczy domyślnego wzorca filtru ObjectInputFilter, który przepuszcza klasy java.net.URL i java.net.InetAddress, co pozwala na wyciek danych przez kanał boczny DNS.

Podatność w Apache Camel umożliwia zdalne wykonanie kodu poprzez deserializację niezaufanych danych w komponencie camel-vertx-http. Atakujący może wykorzystać man-in-the-middle lub skompromitowany backend, aby dostarczyć spreparowany obiekt Java, co prowadzi do wykonania kodu na hoście Camel.

W Apache IoTDB wykryto podatność polegającą na niekontrolowanym zużyciu zasobów. Niektóre interfejsy nie nakładają rozsądnych ograniczeń na zakres czasu i interwał agregacji zapytań, co pozwala atakującemu na skonstruowanie żądania z ekstremalnymi parametrami, prowadząc do wyczerpania pamięci Java i awarii DataNode.

System zarządzania Prog Management System firmy PROG MIS zawiera podatność na wstrzykiwanie SQL, która umożliwia nieuwierzytelnionym zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

Wykryto podatność w narzędziu create-react-app do wersji 5.0.1 na systemie macOS. Funkcja startBrowserProcess w pliku openBrowser.js komponentu react-dev-utils umożliwia wstrzyknięcie poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wtyczka Admin and Site Enhancements (ASE) dla WordPressa przed wersją 8.8.4 nie przeprowadza uwierzytelniania, autoryzacji ani sprawdzania nonce w procedurze przywracania roli, co pozwala nieuwierzytelnionym atakującym na przywrócenie wcześniej zdegradowanego konta administratora do roli administratora. Jest to niekompletna poprawka CVE-2024-43333 / CVE-2025-24648, która zamknęła problem tylko dla jednej ze ścieżek degradacji dostępnych w API ról WordPressa.