Katalog podatności CVE

W funkcjonalności /nodered/fuxa/scripts w FUXA (wersja 1.3.2-2809) występuje luka ujawnienia informacji. Specjalnie spreparowane żądanie HTTP może doprowadzić do wycieku informacji, a atakujący może wywołać ją bez uwierzytelnienia.

W zagrożonych wersjach Octopus Server z włączonym dostawcą uwierzytelniania LDAP każdy uwierzytelniony użytkownik mógł wywołać wyszukiwanie użytkowników LDAP oraz wyszukiwanie grup LDAP.

W openEQUELLA przed wersją 2026.2 powiadomienie przed logowaniem jest przechowywane jako HTML i renderowane na starszej stronie logowania bez kodowania i sanityzacji. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może ustawić powiadomienie zawierające dowolny skrypt (PUT /api/preloginnotice), co prowadzi do przechowywanego XSS na stronie logowania; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.

W openEQUELLA przed wersją 2026.1 endpoint GET /api/userquery/userinfobackup nie wykonuje żadnej kontroli uwierzytelnienia ani autoryzacji. Nieuwierzytelniony atakujący, podając uniqueId innego użytkownika, może pobrać jego zapisane dane osobowe (nazwę użytkownika, imię, nazwisko i adres e-mail) w obrębie tej samej instytucji.

W openEQUELLA przed wersją 2026.1 API SOAP parsuje XML dostarczony w operacji stopEdit parserem, który rozwiązuje encje zewnętrzne. Pozwala to atakującemu odczytać dowolne pliki dostępne dla usługi openEQUELLA lub spowodować, że serwer wykona żądania do lokalizacji wskazanych przez atakującego (SSRF).

W openEQUELLA przed wersją 2026.1 endpoint przesyłania obrazu powiadomienia przed logowaniem (PUT /api/preloginnotice/image/{name}) nie waliduje typu przesyłanych plików i serwuje je z Content-Type wynikającym z dostarczonej nazwy pliku. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może przesłać plik HTML, który jest następnie serwowany jako text/html z domeny openEQUELLA, co prowadzi do przechowywanego XSS; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.

Wtyczka Ortto dla WordPress przed wersją 1.0.25 nie filtrowała danych produktów WooCommerce osadzanych na publicznych stronach sklepu. Nieuwierzytelniony atakujący mógł odczytać hasła produktów i prywatne metadane produktów z zagrożonego sklepu.

Wtyczka Ortto dla WordPress przed wersją 1.0.25 nie escapowała zapisanych ustawień na stronie ustawień administratora, co prowadzi do przechowywanego XSS. Atakujący mogący zmodyfikować konfigurację wtyczki może wykonać dowolny JavaScript w sesji administratora odwiedzającego zagrożoną stronę.

W bibliotece nibabel (do wersji 5.4.2) wykryto podatność w funkcji array_from_file w pliku nibabel/volumeutils.py, związanej z obsługą nagłówków. Manipulacja danymi prowadzi do niekontrolowanej alokacji pamięci. Atak można przeprowadzić zdalnie, a poprawka (pull request) oczekuje na akceptację.

W bibliotece meshio (do wersji 5.3.5) zidentyfikowano słabość w nieznanej funkcji pliku meshio/_vtk_42.py w komponencie VTK Reader. Manipulacja argumentem DIMENSIONS może prowadzić do niekontrolowanej alokacji pamięci. Atak można wykonać zdalnie, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

W bibliotece feedfinder2 (do wersji 0.0.4) odkryto lukę w funkcji find_feeds w pliku feedfinder2.py. Manipulacja danymi prowadzi do podatności typu server-side request forgery (SSRF). Zdalne wykorzystanie ataku jest możliwe, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

W systemie Open Object (wersje od 2.4.3 do 2.5.1, 3.6.2, 4.0.2 i 4.1.1) token z uprawnieniem do odczytu jednego ObjectType może odczytać pełny wersjonowany rekord obiektu innego ObjectType poprzez endpoint history-detail GET /api/v2/objects/{uuid}/{index}. Akcja history_detail wywołuje get_queryset() i get_object_or_404 bezpośrednio, pomijając sprawdzanie uprawnień obiektowych. Luka została naprawiona w wersjach 2.5.1, 3.6.2, 4.0.2 i 4.1.1.

W systemie Domoticz przed wersją 2026.3 handler komendy JSON udevices (Cmd_UpdateDevices w main/WebServerCmds.cpp) nie sprawdzał uprawnień session.rights przed uruchomieniem skryptu parsera Lua. Użytkownik z niskimi uprawnieniami mógł wywołać istniejący skrypt parsera z kontrolowanym wejściem przez GET /json.htm, a parametr script nie miał zabezpieczenia przed path traversal. Wykonanie ogranicza się do już zainstalowanych prawidłowych plików Lua, a luka została naprawiona w wersji 2026.3.

W aplikacji InvoicePlane przed wersją 1.7.2-beta-1 użytkownicy gościnni mogą zatwierdzać lub odrzucać oferty należące do dowolnego klienta, nie tylko przypisanych im klientów. Metody approve() i reject() w kontrolerze Guest Quotes wywołują approve_quote_by_id() i reject_quote_by_id() bez ograniczenia where_in('ip_quotes.client_id', $this->user_clients), a generate_pdf() wywołuje mark_viewed() przed sprawdzeniem zakresu klienta. Luki naprawiono w wersji 1.7.2-beta-1 i stabilnej 1.7.2.

W aplikacji MusicFreeDesktop w wersjach 0.0.6, 0.0.7 i 0.0.8 odkryto lukę w nieznanej funkcji komponentu Request Forwarder. Manipulacja prowadzi do ujawnienia informacji, a atak można przeprowadzić wyłącznie z sieci lokalnej. Exploit został publicznie ujawniony i może być wykorzystywany, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

W aplikacji MusicFreeDesktop w wersjach 0.0.6, 0.0.7 i 0.0.8 zidentyfikowano lukę w nieznanej funkcji komponentu Request Forwarder. Manipulacja prowadzi do podatności typu server-side request forgery (SSRF), a zdalne wykorzystanie jest możliwe. Exploit jest publicznie dostępny i może być wykorzystywany; poprawka ma identyfikator b0d3876247a0a64fa0e430e4b21870e41f503182.

W AVideo przed wersją 8.1.0 plik view/queue.php używa pathinfo na kontrolowanym przez wywołującego parametrze fileURI i zapisuje nazwę pliku przez setTitle w encoder_queue.title bez neutralizacji. fileURI nie jest objęty filtrami objects/security.php, a uprawnienie Login::canUpload() można nadać sobie samodzielnie, co pozwala atakującemu zapisać tytuł HTML, którego obsługa zdarzeń wykona się w przeglądarce uprzywilejowanego widza (administratora lub operatora tego samego streamera).

W AVideo przed wersją 8.1.0 anonimowy interfejs logowania odzwierciedla wartości żądania w HTML i JavaScript bez kodowania wyjścia. Parametr webSiteRootURL jest zwracany bez zmian przez Streamer::getStreamerURL() i trafia do atrybutów nawigacji i formularzy oraz do ciągu JavaScript w view/index.header.php, a pola user i pass są filtrowane tylko pod kątem apostrofów, co pozwala na wyjście z atrybutów HTML. Dodatkowo view/index.header.php odzwierciedla pola POST przez json_encode bez JSON_HEX_TAG, a locale/function.php zapisuje w sesji wartość lang bez escapowania.

W Blombooru przed wersją 1.40.0 endpoint GET /proxy-image dostępny jako /api/booru-import/proxy-image przyjmuje parametr url i pobiera go po stronie serwera bez istotnej walidacji celu. Funkcja proxy_image() sprawdza jedynie, czy wartość zaczyna się od http, a następnie używa get_client_for_url lub requests.get i strumieniuje odpowiedź; adresy prywatne, loopback i link-local nie są blokowane, a automatycznie śledzone przekierowania mogą przenieść żądanie z zaufanej domeny do adresu wewnętrznego.

Wtyczka PiWeb Disable payment method / Partial payment for WooCommerce przed wersją 1.1.10.9 zawiera podatność braku autoryzacji w procedurze AJAX update_fees, która pozwala nieuwierzytelnionym atakującym modyfikować i odczytywać zamówienia innych klientów. Atakujący mogą ponownie użyć nonce ze swojej strony order-pay i podać kolejne wartości order_id, aby zmienić metody płatności, przeliczyć opłaty oraz ujawnić pozycje i sumy zamówień.