Katalog podatności CVE

Podatność CVE-2025-64121 w kontrolerze Multi-Stack (MSC) firmy Nuvation Energy umożliwia obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten dotyczy wersji kontrolera MSC od 2.3.8 do przed 2.5.1.

W systemie zarządzania baterią Nuvation występuje podatność umożliwiająca obejście uwierzytelniania. Problem dotyczy wersji do 2.3.9 włącznie.

Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera przez parametr type, co może prowadzić do zdalnego wykonania kodu lub innego wykorzystania. Wersja 2.3.10 naprawia problem.

Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera. Gdy zwykły klient zamawia produkt, w kroku "dodaj adres" może wstrzyknąć wartość, która zostanie wykonana w widoku administratora. Problem może prowadzić do zdalnego wykonania kodu. Wersja 2.3.10 zawiera poprawkę.

Bagisto to platforma eCommerce oparta na Laravel. W wersjach z gałęzi 2.3 przed 2.3.10, trasy API pozostają aktywne nawet po zakończeniu instalacji. Podstawowe punkty końcowe API (`/install/api/*`) są bezpośrednio dostępne i możliwe do wykorzystania bez uwierzytelniania. Atakujący może całkowicie ominąć instalator, wywołując punkty API bezpośrednio. Pozwala to każdemu nieuwierzytelnionemu atakującemu na tworzenie kont administratora, modyfikację konfiguracji aplikacji i potencjalne nadpisanie istniejących danych. Wersja 2.3.10 naprawia problem.

Langflow to narzędzie do budowania i wdrażania agentów i przepływów pracy opartych na AI. Przed wersją 1.7.0.dev45 wiele krytycznych punktów końcowych API w Langflow nie ma kontroli uwierzytelniania. Problem pozwala każdemu nieuwierzytelnionemu użytkownikowi na dostęp do wrażliwych danych rozmów użytkowników, historii transakcji oraz wykonywanie destrukcyjnych operacji, w tym usuwanie wiadomości. Dotyczy to punktów końcowych obsługujących dane osobowe i operacje systemowe, które powinny wymagać odpowiedniej autoryzacji. Wersja 1.7.0.dev45 zawiera poprawkę.

AdonisJS (framework web TypeScript) ma podatność na path traversal w obsłudze plików multipart, co pozwala zdalnemu atakującemu na zapis dowolnych plików w dowolnych lokalizacjach na serwerze. Dotyczy to @adonisjs/bodyparser do wersji 10.1.1 i wersji przedpremierowych 11.x przed 11.0.0-next.6.

Emlog (system budowy stron internetowych) w wersji 2.5.23 ma podatność na CSRF w funkcji tworzenia artykułów. Może to doprowadzić do wymuszenia opublikowania artykułu z dowolną treścią kontrolowaną przez atakującego. W połączeniu z przechowywanym XSS prowadzi to do przejęcia konta.

W gpsd przed commit dc966aa wykryto podatność polegającą na zapisie poza dozwolonym obszarem pamięci sterty w pliku drivers/driver_nmea2000.c. Funkcja hnd_129540, obsługująca pakiety NMEA2000 PGN 129540, nie weryfikuje liczby satelitów podanej przez użytkownika względem rozmiaru tablicy skyview (184 elementy). Atakujący może podać liczbę satelitów do 255, co prowadzi do zapisu poza tablicą, powodując uszkodzenie pamięci, odmowę usługi (DoS) i potencjalnie wykonanie dowolnego kodu.

W produkcie Hyper Data Protector zgłoszono podatność na wstrzyknięcie SQL. Zdalni atakujący mogą wykorzystać tę podatność do wykonania nieautoryzowanego kodu lub poleceń. Podatność została naprawiona w wersji 2.2.4.1 i późniejszych.

W produkcie Malware Remover zgłoszono podatność na nieprawidłową kontrolę generowania kodu. Zdalni atakujący mogą wykorzystać tę podatność do obejścia mechanizmu ochrony. Podatność została naprawiona w wersji 6.6.8.20251023 i późniejszych.

Podatność SQL injection w aplikacji online-movie-booking w pliku movie_details.php umożliwia atakującym uzyskanie wrażliwych informacji.

Wtyczka Branda dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do i włącznie z 3.4.24. Problem wynika z niewłaściwej weryfikacji tożsamości użytkownika przed aktualizacją hasła.

Signal K Server przed wersją 2.19.0 zawiera dwie podatności, które można połączyć w łańcuch ataku, umożliwiający kradzież tokenów JWT bez uwierzytelnienia. Pierwsza dotyczy nieuwierzytelnionego wyliczania żądań przez WebSocket (parametr serverevents=all), a druga nieuwierzytelnionego odpytywania statusu żądań dostępu, co po zatwierdzeniu przez administratora zwraca token JWT w postaci jawnej.

Signal K Server przed wersją 2.19.0 pozwala nieuwierzytelnionemu atakującemu na zanieczyszczenie stanu wewnętrznego (restoreFilePath) przez endpoint /skServer/validateBackup, co umożliwia przejęcie funkcji przywracania administratora i nadpisanie krytycznych plików konfiguracyjnych, prowadząc do przejęcia konta i zdalnego wykonania kodu.

Titra to oprogramowanie do śledzenia czasu pracy typu open source. Przed wersją 0.99.49 każdy uwierzytelniony użytkownik z rolą administratora może modyfikować regułę timeEntryRule w bazie danych. Wartość ta jest następnie przekazywana do NodeVM i wykonywana jako kod. Bez sanityzacji prowadzi to do zdalnego wykonania kodu. Wersja 0.99.49 naprawia ten problem.

RAGFlow to silnik RAG (Retrieval-Augmented Generation) typu open source. W wersjach przed 0.22.0 użycie niebezpiecznego algorytmu generowania kluczy w procesie tworzenia kluczy API i tokenów beta (współdzielonego uwierzytelniania asystenta/agenta) pozwala na wzajemne wyprowadzenie tych tokenów. Oba tokeny są generowane przy użyciu tego samego `URLSafeTimedSerializer` z przewidywalnymi danymi wejściowymi, co umożliwia nieautoryzowanemu użytkownikowi, który uzyska współdzielony URL asystenta/agenta, wyprowadzenie osobistego klucza API. Daje to pełną kontrolę nad kontem właściciela asystenta/agenta. Wersja 0.22.0 naprawia ten problem.

W bibliotece libcoap w wersjach do 4.3.5 (przed commit 30db3ea) występuje przepełnienie bufora stosu podczas rozwiązywania adresów. Atakujący może zdalnie wywołać awarię lub potencjalnie uzyskać zdalne wykonanie kodu, jeśli w aplikacji włączona jest obsługa proxy.

Ksenia Security lares (model starszy) w wersji 1.6 zawiera krytyczną lukę bezpieczeństwa, która ujawnia PIN systemu alarmowego w pliku XML 'basisInfo' po uwierzytelnieniu. Atakujący mogą uzyskać PIN z odpowiedzi serwera, co pozwala na ominięcie zabezpieczeń i dezaktywację systemu alarmowego bez dodatkowego uwierzytelnienia.

Model Ksenia Security lares (legacy) systemu automatyki domowej w wersji 1.6 zawiera podatność na niechroniony punkt końcowy, który pozwala uwierzytelnionym atakującym na przesyłanie binarnych obrazów systemu plików MPFS. Atakujący mogą wykorzystać tę podatność do nadpisania pamięci programu flash i potencjalnego wykonania dowolnego kodu na serwerze WWW systemu automatyki domowej.