Katalog podatności CVE

W wersjach Headroom przed 0.35.0 serwer WebSocket nie weryfikuje nagłówka `Origin` przychodzących żądań przed przekazaniem ich do serwera nadrzędnego, co pozwala złośliwym klientom WebSocket na wykonywanie dowolnych żądań do LLM bez uwierzytelnienia. Podatność może zostać wykorzystana przez złośliwego klienta WebSocket działającego w przeglądarce, jeśli ma ona dostęp do proxy Headroom, a klucz OpenAI API jest przechowywany w zmiennej środowiskowej `OPENAI_API_KEY`. Wersja 0.35.0 naprawia ten problem.

NetBSD zawiera podatność use-after-free i double-free w funkcji msg_recv_copyin() w warstwie kompatybilności COMPAT_NETBSD32, spowodowaną brakiem instrukcji return przed etykietą czyszczenia na ścieżce sukcesu. Każdy lokalny użytkownik mogący uruchomić 32-bitowy plik binarny w 64-bitowym systemie NetBSD może wywołać panikę jądra lub uszkodzenie pamięci, wywołując recvmsg() z msg_iovlen między 9 a IOV_MAX.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting w pluginie Bookmark, gdzie nazwy rozdziałów nie są kodowane przed wstawieniem do publicznego HTML strony odtwarzania. Właściciel wideo może wstrzyknąć złośliwe skrypty poprzez parametr nazwy zakładki, a każdy odwiedzający to wideo wykonuje ładunek w domenie AVideo.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting w pluginie LoginControl, który nie koduje w HTML kluczy publicznych PGP wyświetlanych w elemencie textarea. Uwierzytelniony atakujący może wstrzyknąć złośliwy JavaScript, przesyłając spreparowany klucz publiczny, który wykonuje się w sesji administratora podczas przeglądania zakładki profilu użytkownika.

AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting w pluginie CustomizeUser, gdzie parametr field_name jest przechowywany bez sanityzacji. Administratorzy mogą wstrzyknąć złośliwe skrypty poprzez endpoint add.json.php, które wykonują się podczas przeglądania stron z dodatkowymi informacjami lub formularzy profilu renderujących funkcję typeToHTML.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność stored cross-site scripting w polu profilu użytkownika 'donationLink'. Funkcja User::setDonationLink() przechowuje wartość, a save() waliduje ją tylko przez filter_var(..., FILTER_VALIDATE_URL), co akceptuje ciągi takie jak http://evil.example/"onmouseover=alert(document.domain)//, podczas gdy getDonationLink() stosuje jedynie strip_tags() i nie koduje cudzysłowów. Uwierzytelniony użytkownik aktualizujący własny profil może przerwać atrybut href i wstrzyknąć obsługę zdarzeń wykonującą JavaScript w przeglądarce każdego odwiedzającego, w tym administratora.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera nieuwierzytelnioną podatność odczytu plików w endpointcie getRecordedFile.php, który strumieniuje nagrane pliki FLV z katalogu tymczasowego. Atakujący mogą wywołać endpoint ze znanym lub odgadniętym kluczem strumienia, aby pobrać nagrane pliki wideo na żywo bez uwierzytelnienia i kontroli autoryzacji.

Wtyczka YPTWallet w AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność typu stored XSS. Wartości CryptoWallet są kodowane base64, ale nie są escapowane HTML przed zapisem w wallet_log.information, przez co administratorzy przeglądający oczekujące wypłaty w pendingRequests.php wykonują złośliwy kod w swojej sesji.

WWBN AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność stored XSS w metodzie UserGroups::setGroup_name(), która nie sanityzuje danych wejściowych group_name. Administratorzy z uprawnieniem canAdminUserGroups mogą wstrzyknąć złośliwy HTML i JavaScript, który wykonuje się w przeglądarce innych administratorów odwiedzających interfejs zarządzania użytkownikami.

WWBN AVideo (do commita c3edcc274c389816d434acadac07ee78eaf330c1) zawiera podatność SSRF w funkcji _json_decode, która pobiera zdalne adresy URL i lokalne ścieżki plików bez walidacji SSRF. Nieuwierzytelnieni atakujący mogą wysyłać ścieżki plików lub adresy HTTP do login.json.php, aby odczytać lokalne pliki lub uzyskać dostęp do usług wewnętrznych, a wyniki są parsowane jako dane logowania.

compression to middleware kompresji dla Node.js i Express. W wersjach przed 1.8.2, gdy klient przerwie połączenie podczas wysyłania skompresowanej odpowiedzi, strumień zlib utworzony do kompresji nie jest niszczony, co powoduje wyciek pamięci natywnej zlib przy każdym przerwanym połączeniu. Zdalny nieuwierzytelniony atakujący może wielokrotnie otwierać żądania i wcześnie się rozłączać, wyczerpując dostępną pamięć i powodując awarię serwera.

Net-SNMP w wersjach do 5.9.5.2 zawiera podatność na odmowę usługi w module SMUX, gdzie smux_accept() wykonuje nieuwierzytelniony blokujący odczyt bez limitu czasu na nowo zaakceptowanych połączeniach. Nieuwierzytelniony zdalny klient może połączyć się z listenerem SMUX i nie wysłać żadnych danych, powodując nieskończone zablokowanie jednowątkowej pętli głównej snmpd i zawieszenie całego przetwarzania SNMP.

libp2p-rendezvous w wersjach do 0.17.1 nie waliduje wartości TTL rejestracji w odpowiedziach discovery, co pozwala atakującym wywołać przepełnienie arytmetyczne licznika czasu. Złośliwy serwer rendezvous może wysłać odpowiedź discovery z nieograniczoną wartością TTL, powodując panikę procesu klienta podczas obliczania timera wygaśnięcia.

Wtyczka WordPress Kirki – Freeform Page Builder, Website Builder & Customizer jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'comment' we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Atakujący może osiągnąć wykonanie dowolnego kodu w systemie docelowym poprzez przesłanie złośliwego pakietu sterownika urządzenia, obejście mechanizmów weryfikacji sterowników i wywołanie wykonania kodu kontrolowanego przez atakującego. Wymagana jest interakcja użytkownika.

Podatność Server-Side Request Forgery (SSRF) w Google Cloud Gemini Enterprise Agent Platform App Builder w wersjach przed 2026-06-01 w Google Cloud Platform pozwala nieuwierzytelnionemu atakującemu na wyciek tokenu dostępu domyślnego konta usługi Compute Engine. Podatność została załatana 1 czerwca 2026 r., a użytkownicy muszą ponownie wdrożyć wcześniej wdrożone aplikacje.

W pewnych okolicznościach, takich jak przywrócenie ustawień fabrycznych, konto root BMC na urządzeniach BullSequana XH3406 i XH3515 staje się aktywne bez hasła. Umożliwia to nieautoryzowany dostęp do interfejsu zarządzania.

WeenyGenius, system zarządzania pracownią komputerową firmy Howyar Technologies, ma podatność typu błąd walidacji pochodzenia. Nieuwierzytelnieni atakujący w tej samej sieci mogą podszyć się pod stację roboczą nauczyciela i wysyłać pakiety rozgłoszeniowe, powodując próby nawiązania połączenia przez komputery uczniów z atakującym.

WeenyGenius, system zarządzania pracownią komputerową firmy Howyar Technologies, ma podatność polegającą na użyciu niezabezpieczonego protokołu. Z powodu polegania na trybie ZMTP Null, nieuwierzytelnieni atakujący w tej samej sieci mogą przechwytywać pakiety w celu wycieku przesyłanych danych lub przeprowadzać ataki powtórzeniowe ze sfałszowanymi poleceniami, zakłócając pracę klasy.

WeenyGenius, system zarządzania pracownią komputerową firmy Howyar Technologies, ma podatność braku uwierzytelniania. Nieuwierzytelnieni atakujący w tej samej sieci mogą łatwo podszyć się pod punkty końcowe uczniów lub nauczycieli. Podszywanie się pod ucznia może zakłócić normalne funkcjonowanie klasy, a podszywanie się pod nauczyciela może skłonić komputery uczniów do nawiązania połączeń, uzyskując zdalną kontrolę nad punktami końcowymi uczniów.