Katalog podatności CVE

W Coolify przed wersją 4.0.0-beta.474 klucz HMAC dla webhooków GitHub może być pusty (null), co powoduje użycie pustego ciągu znaków jako klucza. Atakujący może obliczyć poprawny podpis i wywołać nieautoryzowane wdrożenia.

W Coolify przed wersją 4.0.0-beta.470 odkryto krytyczną podatność na zdalne wykonanie kodu (RCE) przez uwierzytelnionego atakującego. Problem polega na bezpośrednim łączeniu parametru install_command z poleceniem powłoki podczas budowania z użyciem Nixpacks, co pozwala na wykonanie dowolnych poleceń na hoście docelowym.

W Coolify przed wersją 4.0.0-beta.471 wykryto podatność na wstrzykiwanie poleceń w funkcji zarządzania siecią docelową. Uwierzytelniony użytkownik z uprawnieniami do zarządzania siecią może przekazać złośliwy parametr "network", który jest bezpośrednio wykonywany w powłoce, co pozwala na zdalne wykonanie kodu jako root na zarządzanym serwerze.

Podatność w PBackupVSS.exe w Matrix42 Empirum przed wersją 25.5 oraz w wersjach 26.x przed 26.2 tworzy nazwany potok z nadmiernie liberalnymi uprawnieniami. Uwierzytelniony użytkownik o niskich uprawnieniach może połączyć się z tym potokiem i wysłać spreparowane wiadomości IPC, co prowadzi do wykonania dowolnych poleceń z uprawnieniami SYSTEM.

Podatność w bibliotece JavaScript::Minifier::XS dla Perla przed wersją 0.16 powoduje wyciek pamięci przy każdym wywołaniu funkcji minify(). Funkcja czyszcząca zwalnia tylko struktury NodeSet, ale nie bufory zawartości tokenów, co prowadzi do nieograniczonego wzrostu zużycia pamięci.

Podatność w bibliotece JavaScript::Minifier::XS dla Perla przed wersją 0.16 powoduje crash przez dereferencję wskaźnika NULL, gdy pierwszym znaczącym tokenem wejścia jest ukośnik. Problem występuje w funkcji JsTokenizeString podczas rozróżniania wyrażenia regularnego od operatora dzielenia.

Podatność w bibliotece MDEx dla Elixira/Erlanga pozwala na wyczerpanie tablicy atomów poprzez przetworzenie specjalnie spreparowanego dokumentu JSON. Funkcja json_to_node/1 tworzy nowe atomy dla każdej unikalnej wartości node_type, które nie są usuwane przez garbage collector, co prowadzi do awarii całej maszyny wirtualnej BEAM.

Problem został rozwiązany poprzez ulepszone sprawdzanie. Luka umożliwia złośliwej stronie internetowej eksfiltrację danych między różnymi źródłami (cross-origin).

Problem z użyciem po zwolnieniu (use-after-free) został rozwiązany poprzez ulepszone zarządzanie pamięcią. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do uszkodzenia pamięci.

Problem został rozwiązany poprzez poprawę walidacji danych wejściowych. Poprawka jest zawarta w Safari 26.5.2, iOS 18.7.10 i iPadOS 18.7.10, iOS 26.5.2 i iPadOS 26.5.2, macOS Tahoe 26.5.2, tvOS 26.6, visionOS 26.6, watchOS 26.6. Złośliwa witryna może przetwarzać ograniczone treści internetowe poza piaskownicą.

Podatność, która może pozwolić aplikacji na spowodowanie nieoczekiwanego zakończenia działania systemu lub zapis do pamięci jądra. Problem został rozwiązany poprzez ulepszoną sanityzację danych wejściowych.

Poprawiono zarządzanie pamięcią w celu rozwiązania problemu use-after-free w Safari i systemach Apple. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do uszkodzenia pamięci.

Podatność typu type confusion w WebKit, która może prowadzić do uszkodzenia pamięci podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez ulepszone sprawdzanie.

Podatność w WebKit umożliwia złośliwej stronie internetowej przetwarzanie ograniczonej treści internetowej poza sandboxem. Problem został rozwiązany poprzez ulepszone sprawdzanie.

Podatność w luci-proto-openvpn do wersji 0.11.1 (załatana w commicie e4ff45e) pozwala na wstrzyknięcie poleceń powłoki w metodzie generateKey ubus. Parametr cl_meta jest interpolowany do polecenia powłoki bez odpowiedniego escapowania, co umożliwia uwierzytelnionemu użytkownikowi LuCI z dostępem do konfiguracji OpenVPN wykonanie dowolnych poleceń jako root przez funkcję popen.

Podatność w luci-app-tailscale-commonspolega na nieprawidłowym cytowaniu parametrów loginserver i loginserver_authkey w metodzie RPC tailscale.do_login, co umożliwia uwierzytelnionym użytkownikom wstrzyknięcie dowolnych poleceń powłoki wykonywanych z uprawnieniami roota.

Podatność SQL injection w SigNoz do wersji 0.130.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych zapytań ClickHouse poprzez wstrzyknięcie zakodowanych w URL cudzysłowów do parametru identyfikatora reguły w endpointach historii alertów. Atakujący mogą odczytać wszystkie przechowywane trace'e, logi i metryki lub wykorzystać funkcję url() do fałszowania żądań po stronie serwera (SSRF).

Podatność w ruoyi-vue-pro do wersji 2026.05 (załatana w commicie 5d1fd70) polega na błędnym egzekwowaniu przestrzeni nazw uprawnień w kontrolerze ErpSaleOrderController. Atakujący z uprawnieniami erp:sale-out mogą uzyskać nieautoryzowany dostęp do operacji na zamówieniach sprzedaży, wykonując nieuprawnione tworzenie, aktualizację, usuwanie i odczyt wrażliwych finansowo zamówień.

Podatność SSRF w Pinpoint do wersji 3.1.0 włącznie, występująca w punkcie końcowym rejestracji webhooka, pozwala uwierzytelnionym użytkownikom na rejestrację wewnętrznych adresów URL z powodu braku ochrony przed fałszowaniem żądań po stronie serwera. Atakujący mogą wywołać przekroczenie progów alarmowych, zmuszając serwer do wysyłania żądań POST do wewnętrznych hostów i punktów końcowych metadanych, co umożliwia nieautoryzowany dostęp do wewnętrznych zasobów sieciowych.

Podatność w Modoboa przed wersją 2.9.0 w punkcie końcowym PUT /api/v1/accounts/{pk}/password/ umożliwia niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Administratorzy domen mogą zmienić hasło dowolnego użytkownika, w tym superadministratora, co prowadzi do pełnego przejęcia konta.