Katalog podatności CVE

Podatność w pyLoad, menedżerze pobierania, gdzie funkcja API `rpc` odczytuje całą zawartość przesłanego pliku do pamięci bez limitu rozmiaru, co może doprowadzić do wyczerpania pamięci serwera i zakończenia procesu.

Wtyczka FV Flowplayer Video Player dla WordPressa (do wersji 7.5.54.7212) nie neutralizuje poprawnie danych wejściowych podczas generowania stron, co umożliwia atak typu Stored XSS. Złośliwy kod JavaScript może zostać trwale zapisany i wykonany w przeglądarce użytkownika.

AstronRPA do wersji 1.1.6 zawiera podatność polegającą na pobieraniu kodu bez weryfikacji integralności, co pozwala atakującym sieciowym dostarczyć złośliwe aktualizacje poprzez mechanizm automatycznej aktualizacji klienta desktopowego. Atakujący między klientem a serwerem może podać złośliwy manifest aktualizacji i instalator NSIS, który electron-updater instaluje bez weryfikacji podpisu, wykonując kod jako użytkownik pulpitu.

AstronRPA do wersji 1.1.6 zawiera podatność cross-site scripting w oknie czatu smart-component klienta desktopowego. Nieoczyszczone dane wyjściowe modelu LLM są renderowane przez v-html, co pozwala atakującemu zdalnemu wykonać polecenia systemowe przez wstrzyknięcie promptu w stronę internetową i wywołanie nieograniczonego handlera IPC open-path.

plugNmeet Server do wersji 2.5.2 zawiera podatność path traversal w punkcie końcowym konwersji tablicy, umożliwiającą każdemu uczestnikowi spotkania odczyt plików serwera poprzez spreparowane wartości filePath. Atakujący może użyć sekwencji ../, aby dokumenty tekstowe lub biurowe zostały przekonwertowane na obrazy stron, a następnie pobrane bez uwierzytelnienia przez /download/uploadedFile/.

Pingvin Share X od wersji 0.19.0 do 1.22.0 zawiera podatność niewłaściwego uwierzytelniania umożliwiającą zdalnym nieuwierzytelnionym atakującym przejęcie kont. Atakujący rejestruje niezweryfikowany adres e-mail ofiary u dostawcy OAuth/OIDC, wykorzystując brak sprawdzenia email_verified w GenericOidcProvider, i loguje się jako ofiara, w tym jako administrator, omijając TOTP.

LobsterAI w wersjach od 2026.5.27 do 2026.9.23 zawiera podatność external control of file path w handlerze IPC skills:delete, który ufa wartości openclawSourceDir z pliku _meta.json skilla podczas odinstalowywania. Atakujący może nakłonić użytkownika do instalacji spreparowanego skilla, co przy odinstalowaniu spowoduje rekurencyjne usunięcie dowolnych katalogów zapisywalnych przez użytkownika, np. katalogu domowego.

W busybox wykryto błąd w obsłudze odroczonego tworzenia dowiązań dla wpisów symlink i hardlink z celami wyglądającymi na niebezpieczne. Aplikacja tar nie sprawdza, czy rozwiązany cel pozostaje w katalogu rozpakowywania po utworzeniu odroczonego dowiązania. Atakujący może spreparować archiwum tar, używając celu symlinku dokładnie '..' w połączeniu z odroczonym hardlinkiem, aby utworzyć nowy plik poza katalogiem rozpakowywania lub zastąpić istniejący plik poza nim.

W GIMP wykryto błąd w loaderze XCF, który przetwarza pasożyty image-simulation-intent i image-simulation-bpc bez upewnienia się, że dane pasożyta są obecne przed ich dereferencją. Otwarcie specjalnie spreparowanego pliku XCF z pasożytem symulacji o zerowym rozmiarze może spowodować dereferencję wskaźnika NULL i awarię aplikacji GIMP.

MariaDB Server w wersjach od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 zawiera podatność w typie tabeli DOS silnika CONNECT, gdzie błędne sprawdzenie granic pozwala na zapis jednego bajtu NULL poza buforem stosu pod adresem kontrolowanym przez atakującego. Uwierzytelniony użytkownik z dostępem do silnika CONNECT może wywołać awarię i potencjalnie zdalne wykonanie kodu.

W SessionManager w Argo CD w wersji 3.0.6 występuje podatność typu race condition. Pozwala ona atakującemu ominąć ograniczanie liczby prób i przeprowadzić atak brute force poprzez powtarzane, spreparowane żądania.

Moderator Toolbox (reddit-moderator-toolbox) przed wersją 4.0.14 zawiera podatność Stored XSS w module removalreasons, który wstawia pola wiki subreddit toolbox do HTML popup bez kodowania. Atakujący mogący edytować stronę wiki toolbox mogą umieścić JavaScript w polach takich jak pmsubject, header lub tytuły powodów, aby działać w sesjach Reddit moderatorów.

Aplikacja Hayat Mobile firmy Hayat Health Facilities Inc. (Hayat Hospital) w wersjach od 3.3.0 do 3.4.0 zawiera podatność polegającą na użyciu uwierzytelniania po stronie klienta, co umożliwia obejście uwierzytelniania.

EIPStackGroup OpENer w wersji v2.3.0/master do commita 76b95cf zawiera podatność out-of-bounds read w parserze żądań Connection Manager. Pozwala to zdalnemu atakującemu wywołać odmowę usługi.

W EIPStackGroup OpENer v2.3 i master do commita 76b95cf istnieje podatność out-of-bounds read w parserze EtherNet/IP TCP SendRRData Common Packet Format. Problem występuje w CreateCommonPacketFormatStructure() przy przetwarzaniu opcjonalnych elementów adresu gniazda typu 0x8000 lub 0x8001 bez uprzedniej walidacji, że bufor CPF zawiera pełną strukturę sockaddr, co pozwala zdalnemu atakującemu wywołać odmowę usługi.

W usłudze serwerowej CIP SetAttributeList w EIPStackGroup OpENer w wersji 2.3 oraz w gałęzi master do commita 76b95cf występuje podatność typu out-of-bounds read. Pozwala ona zdalnemu atakującemu wywołać odmowę usługi (DoS).

OpENer v2.3.0 / commit 76b95cf zawiera podatność out-of-bounds read w ścieżce niepołączonej komunikacji explicit messaging. Pozwala to zdalnemu atakującemu wywołać odmowę usługi.

ILIAS w wersjach przed 9.24, 10.12 i 11.5 zawiera podatność nieograniczonego przesyłania plików w obsłudze obrazów przy imporcie pytań QTI (ilQtiMatImageSecurity). Uwierzytelnieni autorzy mogą przesłać wykonywalne pliki, a atakujący z uprawnieniami do importu puli pytań może zaimportować spreparowane archiwum zapisujące plik .htaccess i plik PHP do katalogu obrazów serwowanych przez WWW, uzyskując zdalne wykonanie kodu jako użytkownik serwera WWW.

ruoyi-ai w wersjach od 3.0.0 do 3.1.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom usuwać przepływy pracy innych użytkowników poprzez POST /workflow/del/{uuid}. Atakujący mogą uzyskać UUID przepływów z GET /workflow/search i podać je, ponieważ softDelete() pomija sprawdzenie własności PrivilegeUtil.checkAndGetByUuid(), usuwając przepływy właścicieli.

ruoyi-ai w wersjach od 3.0.0 do 3.1.0 zawiera podatność braku autoryzacji w punkcie końcowym GET /workflow/search, która ujawnia prywatne przepływy pracy innych użytkowników. Uwierzytelnieni użytkownicy niebędący administratorami mogą odpytywać ten punkt końcowy, który nie ma filtrowania właściciela ani is_public, aby wyświetlić włączone prywatne przepływy pracy w tej samej dzierżawie, w tym UUID oraz pełne konfiguracje węzłów i krawędzi.