Katalog podatności CVE

W gopass przed wersją 1.17.0 występuje podatność path traversal w backendzie przechowywania na systemie plików, która pozwala atakującym usuwać katalogi poza magazynem haseł poprzez nazwy wpisów zawierające ../ w operacjach Prune i IsDir. Współpracownicy z prawem zapisu do współdzielonego magazynu synchronizowanego przez git mogą wprowadzić spreparowane wpisy, powodując usunięcie dowolnych drzew katalogów przez rekurencyjne gopass rm -r ofiary.

Dolibarr ERP CRM przed wersją 24.0.2 zawiera podatność braku autoryzacji w htdocs/public/recruitment/view.php, która pozwala nieuwierzytelnionym atakującym przeglądać nieopublikowane wersje robocze stanowisk pracy. Atakujący mogą wyliczać kolejne tymczasowe referencje przez parametr ref, aby odczytać tytuły, opisy, budżety wynagrodzeń oraz nazwiska i adresy e-mail rekruterów.

CherryTree do wersji 1.7.2 zawiera podatność path traversal w CtStorageXmlHelper::_create_image_from_xml, która ufa niezwalidowanym atrybutom filename osadzonych plików w dokumentach XML. Atakujący mogą spreparować dokument .ctd, .ctz lub .ctx z bezwzględną lub ~/ nazwą pliku i bez danych, tak że zapis osadza pliki takie jak ~/.ssh/id_rsa w dokumencie.

W projekcie a2ui do wersji 0.12.0 wykryto podatność w funkcji Root.renderComponentTree w pliku src/0.8/ui/root.js komponentu Renderer. Manipulacja może prowadzić do dynamicznie ustalanych atrybutów obiektu, a atak można przeprowadzić zdalnie; pull request z poprawką oczekuje na akceptację.

W a2ui do wersji 0.10.4 wykryto podatność w nieznanym kodzie pliku src/v0_9/basic_catalog/components/Image.js komponentu Image Player/Video Player/Audio Player. Manipulacja argumentem url prowadzi do niewłaściwej walidacji danych wejściowych, a atak można zainicjować zdalnie; pull request z poprawką oczekuje na akceptację.

Narzędzia DB Tools polegają na implementacji TLS z biblioteki standardowej Golang, która korzysta z systemowego magazynu CA oraz wewnętrznej listy zablokowanych certyfikatów CA w pakiecie crypto/x509. Wersja Golang 1.27.3 dodaje certyfikaty eMudhra do tej listy, ale DB Tools w wersji 100.19.0 zostało skompilowane z Golang 1.26.8, która nie zawiera tej weryfikacji. Problem rozwiązano w DB Tools 100.20.0 poprzez aktualizację do Golang 1.27.3.

W langgraph-sdk od wersji 0.4.0 do 0.4.6 oraz w langgraph od 1.2.3 do 1.2.14 (gdy RemoteGraph v3 streaming używa podatnej wersji langgraph-sdk) synchroniczne i asynchroniczne funkcje pomocnicze v3 stream get_tree i _fetch_state wstawiają kontrolowane przez wywołującego wartości assistant_id i thread_id do uwierzytelnionych ścieżek żądań GET bez użycia _quote_path_param. Względne segmenty ścieżki mogą zostać znormalizowane do innej czytelnej ścieżki na skonfigurowanym serwerze przy zachowaniu nagłówków uwierzytelniania.

W pakiecie GraphQL Tools legacy WebSocket executor przed wersją 1.1.36 funkcja buildWSLegacyExecutor używa jednego WebSocket i zastępuje pojedynczy handler websocket.onmessage przy każdym nowym nakładającym się subskrypcji. Handler dostarcza ramki LEGACY_WS.DATA do najnowszego obserwatora bez porównania data.id z identyfikatorem operacji subskrypcji, więc wywołujący może otrzymać dane subskrypcji innego użytkownika.

W @hono/node-server od wersji 1.19.10 do 2.1.3 funkcja serveStatic dekoduje ścieżkę żądania po raz drugi po tym, jak Hono już ją zdekodowało do routingu. Zniekształcona sekwencja procentowa może spowodować, że middleware routingu oceni zakodowaną ścieżkę, podczas gdy rozwiązywanie plików statycznych użyje innego katalogu.

W Vite od wersji 6.4.4 do 6.4.5 serwer deweloperski może ocenić server.fs.deny przed usunięciem parametrów zapytania loadera, takich jak ?raw, ?import&raw lub ?import&url&inline. Gdy serwer deweloperski jest wystawiony na sieć, a wrażliwy plik znajduje się w server.fs.allow, ale jest dopasowany przez server.fs.deny, nieuwierzytelniony atakujący może dołączyć jedno z tych zapytań i pobrać zabroniony plik.

W Happy DOM przed wersją 20.14.6 komponent CookieContainer nieprawidłowo waliduje i dopasowuje atrybuty Domain plików cookie. Może akceptować Domain niezwiązany z originem ustawiającym cookie, w tym publiczny sufiks, oraz traktować niepowiązaną nazwę hosta dzielącą sufiks jako dopasowanie, ponieważ cookieMatchesURL nie wymusza granicy etykiety DNS.

W frameworku Echo (Go) w wersjach przed 4.15.2 i 5.1.1 funkcja Context.Scheme zwraca wartości z nagłówków X-Forwarded-Proto, X-Forwarded-Protocol lub X-Url-Scheme bez sprawdzenia, czy są to obsługiwane schematy sieciowe. Middleware WWWRedirect i NonWWWRedirect używają tej wartości do budowy nagłówka Location, co pozwala atakującemu kontrolującemu nagłówek forwarded scheme wymusić przekierowanie na dowolny schemat URI. Warianty przekierowań specyficzne dla HTTPS mają zaszyty na stałe HTTPS i nie są podatne.

W frameworku Echo (Go) w wersjach przed 4.16.0 i 5.4.0 funkcja Context.Scheme bezwarunkowo ufa nagłówkom forwarded scheme od dowolnego klienta. Klient łączący się bezpośrednio przez zwykły HTTP może podać schemat HTTPS i ominąć HTTPSRedirect, ponieważ żądanie jest traktowane jako już bezpieczne. Dodatkowo, za proxy terminującym TLS przekazującym nagłówek kontrolowany przez atakującego, deklarowany schemat HTTP może stłumić nagłówek Strict-Transport-Security, mimo że przeglądarka otrzymuje odpowiedź przez HTTPS.

W frameworku Echo (Go) w wersjach przed 4.16.0 i 5.4.0 funkcja sanitizeURI sprawdza tylko pierwsze dwa bajty celu przekierowania przed decyzją, czy zaczyna się on od pary separatorów ścieżki absolutnej. Gdy AddTrailingSlash lub RemoveTrailingSlash są skonfigurowane ze statusem przekierowania, forma ścieżki ze slashem, TAB-em i separatorem może ominąć zabezpieczenie, zostać wysłana w nagłówku Location i znormalizowana przez przeglądarkę do hosta kontrolowanego przez atakującego.

W platformie Endatix przed wersją 0.7.0 anonimowy endpoint POST /forms/{formId}/submissions przechowuje kontrolowane przez atakującego pole JsonData, które może zawierać obiekt pliku z adresem URL HTTP/HTTPS. Gdy pracownik z uprawnieniem submissions.view wywoła pobieranie plików, serwer wykonuje żądanie GET bez walidacji adresu docelowego, co umożliwia second-order SSRF do usług wewnętrznych, metadanych chmury i adresów loopback.

W narzędziu Ember przed wersją 1.4.2 formatery wierszy TUI przekazują pola logów dostępu Caddy, w szczególności URI żądania, przez funkcję fitCellLeft bez neutralizacji sekwencji ucieczki terminala. Nieuwierzytelniony klient może umieścić bajty ANSI, OSC lub CSI w żądaniu HTTP, które po zdekodowaniu trafiają do os.Stdout i są interpretowane przez terminal operatora.

Endpoint uwierzytelniania generuje komunikat błędu zawierający dane odzwierciedlone bezpośrednio z żądania, bez wystarczającej sanityzacji lub kodowania. Umożliwia to atakującemu wstrzyknięcie złośliwych skryptów wykonywanych w kontekście przeglądarki ofiary (reflected XSS).

W frameworku Echo przed wersjami 4.15.3 i 5.2.0 middleware.Static może ponownie dekodować już zdekodowaną wartość Request.URL.Path. Podwójnie zakodowane separatory mogą zostać zrekonstruowane przed rozwiązywaniem ścieżki w systemie plików, co pozwala dotrzeć do pliku chronionego przez trasę, gdy middleware statyczne jest zarejestrowane globalnie.

W frameworku Echo przed wersjami 4.16.0 i 5.4.0 statyczne handlery plików mogą normalizować segmenty kropkowe po dopasowaniu trasy i serwować plik przez publiczną trasę statyczną, mimo że bezpośrednia ścieżka jest chroniona przez middleware na poziomie trasy. Luka jest wynikiem niekompletnej poprawki dla CVE-2026-55677.

W frameworku Echo od wersji 4.0.0 do 5.1.0 Context.RealIP korzysta z wartości X-Forwarded-For lub X-Real-IP dostarczonych przez klienta, gdy Echo.IPExtractor nie jest ustawiony, a domyślny RateLimiter używa tego wyniku jako identyfikatora klienta. Atakujący może rotować wartości nagłówków, aby uzyskiwać nowe koszyki limitu i omijać ograniczenia oparte na IP.