Katalog podatności CVE

SPIP w wersji przed 4.4.18 zawiera nieuwierzytelnioną podatność blind SQL injection w warstwie escapowania SQL, która pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne zapytania SQL poprzez podanie spreparowanej wartości parametru annee pasującej do znaku słownego, po którym następuje nawias otwierający, co omija escapowanie dla kolumn typu data w backendach MySQL, SQLite i PostgreSQL. Atakujący mogą wykorzystać zawsze obecny szablon sitemap.xml.html i kryterium annee, aby osadzić niescapowane ładunki czasowe lub logiczne w zapytaniach do bazy danych, umożliwiając ekstrakcję dowolnej zawartości bazy danych, w tym sekretu alea_ephemere używanego do podpisywania nonce akcji SPIP.

MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym usuwania komentarzy, który sprawdza własność na podstawie pól treści żądania zamiast uwierzytelnionego podmiotu. Atakujący może usuwać dowolne komentarze i ich odpowiedzi, podając identyfikatory komentarzy i autorów uzyskane z nieuwierzytelnionych punktów końcowych listowania.

MoguBlog do wersji 6.2 zawiera podatność XML external entity injection w obsłudze wywołań zwrotnych WeChat pod adresem POST /wechat/wechatCheck. Metoda WechatRestApi.index() przekazuje surowe ciało żądania do SignUtil.xmlToMap(), która używa nieutwardzonego dom4j SAXReader bez ograniczeń DTD ani encji zewnętrznych. Nieuwierzytelnieni zdalni atakujący mogą przesyłać deklaracje DOCTYPE z zewnętrznymi encjami parametrów, aby odczytać dowolne pliki lokalne lub wywołać wychodzące żądania HTTP, a rozwiązane encje są odzwierciedlane w odpowiedziach błędów.

Niewłaściwa neutralizacja znaków specjalnych używanych w poleceniach systemu operacyjnego w komponencie syntezy zadań w projen przed wersją 0.103.0 może pozwolić atakującym zależnym od kontekstu na wykonanie dowolnych poleceń na stacji roboczej dewelopera lub w runnerze ciągłej integracji poprzez metaznaki powłoki w wartościach konfiguracji projektu i nazwach plików repozytorium interpolowanych do generowanych definicji zadań. Aby usunąć tę podatność, użytkownicy powinni zaktualizować do wersji 0.103.0, a następnie ponownie wygenerować projekt, aby plik .projen/tasks.json został odtworzony z poprawionymi definicjami zadań. Sama aktualizacja nie wystarczy, ponieważ wygenerowany plik definicji zadań jest zatwierdzany w repozytorium.

Względne przejście ścieżki w komponencie czyszczenia manifestu wygenerowanych plików w projen przed wersją 0.101.37 może pozwolić atakującym zależnym od kontekstu na rekurencyjne usuwanie plików i katalogów poza katalogiem projektu, które są zapisywalne przez środowisko uruchamiające projen, poprzez spreparowane wpisy w wersjonowanym manifeście wygenerowanych plików konsumowanym podczas syntezy projektu. Aby usunąć tę podatność, użytkownicy powinni zaktualizować do wersji 0.101.37. Poprawiony mechanizm kontroli zawartości jest automatycznie stosowany przez środowisko uruchomieniowe projen przy następnym uruchomieniu.

Dolibarr w wersji od 23.0.4 do 24.0.1 zawiera podatność obejścia autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików poprzez podanie spreparowanej wartości parametru hashp. Atakujący może użyć hashp=shared, aby pominąć walidację tokenu i uzyskać dostęp do logów, dokumentów biznesowych, kopii zapasowych bazy danych i plików innych jednostek.

Podatność typu OS Command Injection w oprogramowaniu Pardus Software firmy TUBITAK BILGEM. Występuje nieprawidłowa neutralizacja znaków specjalnych używanych w poleceniach systemu operacyjnego. Problem dotyczy wersji przed 1.0.5.

Podatność typu use-after-free w przeglądarce Microsoft Edge (opartej na Chromium). Uwierzytelniony atakujący może zdalnie wykonać dowolny kod. Podatność jest wykorzystywana przez sieć.

Podatność w bibliotece jackson-databind polega na tym, że deserializatory typów XML (Duration, XMLGregorianCalendar) przekazują surowy łańcuch JSON bezpośrednio do konstruktorów BigInteger/BigDecimal, które mają złożoność kwadratową względem liczby cyfr. Ponieważ cyfry znajdują się w tokenie łańcucha znaków, a nie liczby, zabezpieczenie StreamReadConstraints.maxNumberLength nie działa, co pozwala atakującemu na wywołanie długotrwałego obciążenia CPU pojedynczym żądaniem.

Podatność polegająca na nieprawidłowym przypisaniu uprawnień w oprogramowaniu Pardus-software firmy TUBITAK BILGEM. Umożliwia ona podniesienie uprawnień przez atakującego. Problem dotyczy wersji przed 1.0.5.

Podatność typu OS Command Injection w narzędziu Pardus Boot Repair firmy TUBITAK BILGEM. Występuje nieprawidłowa neutralizacja znaków specjalnych używanych w poleceniach systemu operacyjnego. Problem dotyczy wersji przed 1.0.8.

Podatność typu integer overflow w obliczeniach pitch i rozmiaru bufora w serwerze Orthanc DICOM Server. Prowadzi ona do zapisu poza granicami bufora na stercie podczas dekodowania pliku PNG dostarczonego przez atakującego. Może to skutkować wykonaniem dowolnego kodu lub awarią usługi.

Puppet Enterprise w wersjach 2023.8.0-2023.8.10 oraz 2025.0.0-2025.11.2 zawiera podatność na wstrzyknięcie poleceń. Uwierzytelniony użytkownik z uprawnieniami administracyjnymi Puppet może wykonać dowolne polecenia powłoki z uprawnieniami roota.

Podatność w NextGen Connect (Mirth Connect) w wersjach 4.7.1 i wcześniejszych umożliwia uwierzytelnionemu użytkownikowi wykonanie dowolnego SQL poprzez API Database Connector. Może to skutkować ujawnieniem zapisanych poświadczeń do połączonych systemów, zapisem dowolnych plików oraz atakiem typu denial-of-service.

Gdy włączone jest przetwarzanie wsadowe XML i wybrana jest opcja XPath, surowe dane wejściowe przechodzą przez domyślną konfigurację XPath/JAXP bez ograniczeń dotyczących encji. Umożliwia to atak typu XXE injection prowadzący do eksfiltracji danych i ataków denial-of-service.

Krok XSLT Transformer Step tworzy TransformerFactory bez ustawionych odpowiednich opcji bezpieczeństwa. Umożliwia to atak typu XXE injection prowadzący do eksfiltracji danych i ataków denial-of-service.

Endpoint terminala VSAT iDirect iQ200 zwraca pełną konfigurację urządzenia w formacie JSON, w tym sekcję SECURITY zawierającą hashe haseł MD5-crypt dla kont root SSH oraz administracji webowej. Każdy użytkownik z ważnymi poświadczeniami webowymi może wyodrębnić te hashe i złamać je offline przy użyciu powszechnie dostępnego sprzętu.

W terminalu VSAT iDirect iQ200 z firmware 23.0.1.0 występuje lokalna podatność na podniesienie uprawnień. Urządzenie jest fabrycznie wyposażone w wbudowane konto lokalne o niskich uprawnieniach, przeznaczone dla techników terenowych, które zapewnia początkowy dostęp wymagany do wykorzystania podatności — nie trzeba zdobywać ani łamać żadnych dodatkowych poświadczeń.

W Akana API Platform wykryto podatność typu XML external entity (XXE), wynikającą z niewłaściwego ograniczenia odwołań podczas przetwarzania XML do JSON. Problem dotyczy wersji 2026.1, 2025.1.1 oraz wszystkich wersji przed 2024.1.6 (w tym starszych nieobsługiwanych wersji) i został naprawiony jako poprawka bezpieczeństwa w najnowszym wydaniu obsługiwanych wersji.

Problem w ZJU-FAST-Lab EGO-Planner-v2 we wszystkich wersjach do commita 5c99a95880401e2599638d567abc0e240396cb42 pozwala atakującemu wywołać odmowę usługi poprzez interakcję między traj_server, poscmd_2_odom oraz logiką awaryjnego odzyskiwania EGOReplanFSM.