Katalog podatności CVE

novel-plus do wersji 5.3.3 zawiera podatność ujawniania informacji w punkcie końcowym /sys/user/list, który nie ma odpowiednich adnotacji uprawnień. Uwierzytelnieni atakujący mogą pobrać hashy haseł oraz dane osobowe, w tym adresy e-mail i numery telefonów użytkowników w zakresie swoich danych, co umożliwia złamanie haseł w trybie offline i przejęcie kont.

W systemie magicblack MacCMS10 w wersji 2026.1000.4055 wykryto podatność nieznanej funkcji w pliku /admin1.php/admin/template/index/path/.%40template%40default%40html%40label.html w komponencie Template Handler. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony i może być wykorzystywany. Projekt nie odpowiedział na zgłoszenie.

W Dvidelabs flatcc do wersji 0.6.3 stwierdzono podatność wpływającą na funkcję align_order_members w pliku src/compiler/semantics.c w komponencie Duplicate Symbol Handler. Manipulacja powoduje osiągalne asercje (reachable assertion). Atak może być inicjowany zdalnie. Exploit został publicznie ujawniony. Poprawka istnieje: 8b19ba4e992ebcad7f5970704d1afc5507fa5205.

W bibliotece Dvidelabs flatcc do wersji 0.6.3 wykryto podatność w funkcji analyze_struct w pliku src/compiler/semantics.c. Manipulacja danymi prowadzi do osiągalnego asercji (assertion). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4, 11.7.x do 11.7.8 oraz 10.11.x do 10.11.22 nie ogranicza głębokości zagnieżdżenia w parserze Markdown po stronie serwera. Uwierzytelniony atakujący może spowodować odmowę usługi (wyczerpanie zasobów CPU) poprzez spreparowany post z głęboko zagnieżdżonymi cytatami lub elementami listy.

Mattermost w wersjach do 11.9, 11.0.9, 11.4.8, 11.7.7 oraz 10.22.11.0 nie odzyskuje działania po panicach w handlerach. Uwierzytelniony użytkownik może doprowadzić do awarii pluginu poprzez żądanie post-action z nieoczekiwanym typem pola.

Podatność w Apache Storm pozwala na odczyt danych uwierzytelniających (np. storm.zookeeper.auth.payload, hasła do keystore/truststore) przez nieautoryzowanych użytkowników korzystających z API topologii, ponieważ konfiguracja Nimbusa jest łączona z konfiguracją topologii i zwracana bez maskowania.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4 oraz 11.7.x do 11.7.7 nie egzekwuje granic autoryzacji na punkcie końcowym aktualizacji polityki kontroli dostępu. Administrator kanału lub zespołu może odpiąć przypisaną przez system politykę nadrzędną ABAC poprzez spreparowane żądanie PUT /api/v4/access_control_policies z pustą listą imports.

Oprogramowanie sprzętowe Yealink SIP-T33G w wersjach 124.86.x.x przed 124.87.0.0 zawiera podatność typu race condition. Uwierzytelniony atakujący może przerwać aktywne procesy diagnostyczne, jednocześnie usuwając pliki wyjściowe zapisywane w przewidywalnych ścieżkach w katalogu diagnostycznym. Można wywołać operację diagnostyczną, taką jak traceroute lub ping, i równocześnie wywołać punkt końcowy usuwania plików, aby zatrzymać działający proces, pozostawiając system w niespójnym stanie.

Podatność otwartego przekierowania (Open Redirect) w Apache Syncope dotyczy modułu SRA (Syncope REST API) podczas konfiguracji uwierzytelniania CAS. Adres URL docelowego serwera Apereo CAS jest wyznaczany bezwarunkowo na podstawie nagłówków HTTP dostarczanych przez klienta, co umożliwia atakującemu sterowanie celem przekierowania.

Dotknięte wersje MISP serwują przesłane obrazy SVG bez restrykcyjnej piaskownicy przeglądarki. Złośliwe skrypty wewnątrz SVG mogą wykonać się, gdy SVG jest otwierane bezpośrednio lub osadzone jako dokument, działając w kontekście MISP z sesją przeglądającego. Dotyczy to logo organizacji oraz obrazów SVG w raportach zdarzeń. Podatne zachowanie występuje na ścieżce serwowania, nie tylko podczas przesyłania. Wersje dotknięte: ≤2.5.45.

Dotknięte wersje interaktywnej powłoki CLI MISP nie zachowują w sposób niezawodny tożsamości personifikowanego użytkownika MISP w dziennikach audytowych. Zachowanie SysLogLogable przechowywało tożsamość w stanie instancji, który mógł zostać nadpisany, gdy inny model dołączył współdzielone zachowanie. W rezultacie późniejsze zapisy CLI mogły utracić przypisanie do użytkownika i być logowane niepoprawnie. Dodatkowo rekordy pochodzące z CLI nie miały znacznika CLI, przez co wyglądały jak zwykłe akcje webowe danego użytkownika. Wersje dotknięte: ≤2.5.45.

Froxlor przed wersją 2.3.7 nie ogranicza poprawnie wyszukiwania aliasów nadawców do bieżącego klienta w pliku customer_email.php. Uwierzytelnieni atakujący mogą wyliczać globalne identyfikatory aliasów nadawców i odczytywać dozwolone wartości nadawców innych klientów, podając dowolne parametry senderid w żądaniach potwierdzenia usunięcia.

Froxlor przed wersją 2.3.7 nie weryfikuje parametru mysql_server względem listy dozwolonych serwerów (allowed_mysqlserver) klienta w poleceniu API Mysqls.add. Atakujący mogą podać niedozwolony indeks serwera, aby tworzyć bazy danych i użytkowników MySQL na zabronionych serwerach, omijając kontrolę dostępu per klient.

EspoCRM przed wersją 10.0.4 zawiera podatność polegającą na obejściu zabezpieczeń na poziomie pól w punktach końcowych dotyczących uczestników spotkań i połączeń. Uwierzytelnieni użytkownicy mogą odczytywać zastrzeżone adresy e-mail, wykorzystując nieprawidłową walidację zakresu ACL, która sprawdza uprawnienia zdarzenia nadrzędnego zamiast uprawnień encji uczestnika.

LaraDashboard w wersjach 0.9.0 do 1.2.2 nie oczyszcza zawartości plików SVG podczas przesyłania multimediów, co pozwala uwierzytelnionym użytkownikom z uprawnieniem media.create na przesyłanie złośliwych plików SVG zawierających skrypty. Gdy jakikolwiek użytkownik, w tym administrator, otworzy przechowywany plik SVG wyświetlany w kontekście aplikacji, osadzony JavaScript wykonuje się w kontekście pulpitu, umożliwiając przejęcie sesji i konta administratora.

File Browser do wersji 2.63.23 stosuje reguły ścieżek do żądanej ścieżki leksykalnej, ale rozwiązuje dowiązania symboliczne bez ponownego stosowania reguł do celu, co pozwala uwierzytelnionym użytkownikom na ominięcie reguł odmowy. Atakujący mogą czytać i nadpisywać pliki objęte zakazem, uzyskując do nich dostęp przez aliasy dowiązań symbolicznych, które wskazują na zabronione ścieżki.

File Browser do wersji 2.63.23 zawiera podatność na wyczerpanie pamięci w punkcie końcowym konwersji napisów, który ładuje całe pliki napisów do pamięci bez ograniczeń rozmiaru. Uwierzytelnieni atakujący z uprawnieniem pobierania mogą żądać konwersji dużych plików .srt, .ass lub .ssa i wyczerpać pamięć serwera poprzez równoczesne żądania, powodując odmowę usługi.

filebrowser do wersji 2.63.23 nie ogranicza rozmiaru wiadomości WebSocket w handlerze /api/command przed sprawdzeniem uprawnień, co pozwala uwierzytelnionym użytkownikom na buforowanie dowolnie dużych wiadomości. Atakujący mogą wysyłać zbyt duże wiadomości WebSocket, aby wyczerpać pamięć sterty serwera i spowodować odmowę usługi, niezależnie od ustawienia EnableExec lub uprawnienia Execute.

Podatność znaleziona w Dvidelabs flatcc do wersji 0.6.3. Dotyczy funkcji fb_clear_parser w pliku src/Compiler/semantics.c. Manipulacja prowadzi do wycieku pamięci. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty. Identyfikator poprawki to 8dbc3419738da066151991fd2bf1d0c85591dea2. Zaleca się zainstalowanie poprawki.