Katalog podatności CVE

Wada w migration-planner. Niewystarczająca walidacja pola AgentStatusUpdate.CredentialUrl pozwala uwierzytelnionemu atakującemu przechowywać złośliwy adres URL javascript:. Gdy ofiara wyświetli ten adres w Hybrid Cloud Console, może to prowadzić do Cross-Site Scripting (XSS), umożliwiając wykonanie skryptu w sesji ofiary i potencjalne ujawnienie wrażliwych informacji.

Podatność polegająca na obejściu uwierzytelniania przez słabość pierwotną w oprogramowaniu E-Municipality firmy Universal Software Inc. Umożliwia wykorzystanie zaufanych identyfikatorów. Dotyczy wersji od 20251127 przed 20260204.

Podatność w TRENDnet TEW-816DRM (wersja GURNC4.OT182B-C-TN-R1B028-US.EN) dotyczy nieznanej funkcji w pliku /etc/bftpd.conf komponentu bftpd. Manipulacja argumentem USERLIMIT_GLOBAL prowadzi do alokacji zasobów. Atak może być przeprowadzony zdalnie. Podatność dotyczy tylko produktów, które nie są już wspierane przez producenta.

Wada bezpieczeństwa w wvp-GB28181-pro w wersji 2.7.4-20260107 dotyczy nieznanego kodu w pliku LogController.java komponentu Log File Download Endpoint. Manipulacja argumentem fileName prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystywany.

Podatność w wvp-GB28181-pro w wersji 2.7.4-20260107 dotyczy nieznanej części pliku PlayController.java komponentu Snapshot Endpoint. Manipulacja argumentami deviceId/channelId prowadzi do path traversal. Atak może być inicjowany zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

W alldatacenter alldata do wersji 0.6.8 znaleziono podatność na manipulację ścieżką (path traversal) w funkcji FileInputStream pliku /admin/controller/JobLogController.java, w komponencie logDetailCat Endpoint. Manipulacja argumentem executorAddress umożliwia zdalny atak. Exploit został opublikowany i może być wykorzystany.

SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w endpointcie /api/filetree/authFilePublishAccess, który jest zarejestrowany tylko z CheckAuth i dostępny anonimowo. Endpoint nigdy nie ustawia kodu błędu, więc wynik jest sygnalizowany przez komunikat odpowiedzi i obecność nagłówka Set-Cookie, które różnią się w zależności od poziomu dostępu. Anonimowy atakujący może rozróżnić, czy dokument jest publiczny/nieistniejący, chroniony hasłem, czy istnieje w ukrytej lub zabronionej warstwie, potwierdzając istnienie dokumentów, do których nie ma dostępu.

actix-http przed wersją 3.12.1 zawiera podatność na przemycanie żądań HTTP (HTTP request smuggling) w parserze HTTP/1.1, który akceptuje żądania z jednoczesnym nagłówkiem Content-Length i Transfer-Encoding: chunked. Nieuwierzytelnieni zdalni atakujący mogą wykorzystać to przez pośredniczący front-end do desynchronizacji żądań backendu i przemycania złośliwych żądań HTTP do usługi Actix.

SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w endpointcie getAttributeViewBacklinks, który przy filtrowaniu linków zwrotnych konsultuje listę zabronionych dostępów zamiast listy widoczności. Anonimowi czytelnicy mogą podać publicznie widoczny identyfikator wiersza bazy danych, aby odkryć ukryte dokumenty, które się do niego odwołują, otrzymując nazwę bazy danych, tytuł wiersza i ścieżkę dokumentu ukrytych dokumentów.

SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w endpointcie getRefIDsByFileAnnotationID, który zwraca identyfikatory bloków cytujących adnotacje PDF bez filtrowania pod kątem dostępu publikacyjnego. Atakujący mogą wyodrębnić identyfikatory bloków z zastrzeżonych dokumentów, podając identyfikatory adnotacji widoczne na opublikowanych stronach, ujawniając relacje cytowań między zabronionymi i chronionymi hasłem warstwami.

FileBrowser przed wersją 2.63.19 nie egzekwuje zadeklarowanej wartości Upload-Length w endpointcie PATCH dla przesyłania wznawianego TUS, co pozwala uwierzytelnionym użytkownikom zapisywać dowolne dane na dysku. Atakujący mogą wysyłać zbyt duże treści żądań przekraczające zadeklarowaną długość, aby wyczerpać dostępne miejsce na dysku i spowodować niedostępność usługi.

filebrowser przed wersją v2.63.21 nie kanonizuje ścieżek przed oceną reguł dostępu, co pozwala uwierzytelnionym użytkownikom ominąć zdefiniowane przez administratora reguły odmowy przy użyciu ścieżek z różną wielkością liter lub separatorami backslash. Atakujący mogą żądać plików z alternatywnymi reprezentacjami ścieżek, które nie pasują do żadnej reguły, ale rozwiązują się do tego samego obiektu systemu plików, uzyskując nieautoryzowany dostęp do zabronionych plików w swoim zakresie.

filebrowser przed wersją 2.63.19 zawiera obejście uprawnień w endpointcie /api/resources. Gałąź checksum (?checksum=) w resourceGetHandler odczytuje cały plik, aby obliczyć skrót i zwraca go bez sprawdzania uprawnienia Perm.Download (w przeciwieństwie do ścieżek raw, preview i subtitle). W rezultacie uwierzytelniony użytkownik z Perm.Download=false może uzyskać wyrocznię skrótu treści dla dowolnego pliku w tym samym zakresie (md5/sha1/sha256/sha512), umożliwiając potwierdzenie znanej/odgadniętej treści, wykrywanie zmian i ataki brute-force offline na pliki o niskiej entropii. Jest to niepełna poprawka CVE-2026-35606; omija tylko uprawnienie Download i nie pokonuje autoryzacji zakresu/ścieżki.

Grav w wersjach od 1.5.2 do 2.0.12 zawiera podatność na trwały cross-site scripting (XSS) w funkcji Security::detectXss() (system/src/Grav/Common/Security.php). Skanowanie obsługi zdarzeń jest zakotwiczone na `<` i używa `[^>]*?`, które nie może przekroczyć pierwszego dosłownego `>`; gdy `>` pojawi się wewnątrz wartości atrybutu w cudzysłowie, przeglądarka utrzymuje tag otwarty i parsuje kolejny moduł obsługi zdarzeń (np. onerror), więc detektor i przeglądarka są w niezgodzie. Edytor strony bez uprawnień admin.super może zapisać treść strony taką jak `<img src=x title=">" onerror=alert(document.domain)>`, która jest akceptowana, przechowywana i wykonywana w originie witryny, gdy dowolny odwiedzający (w tym nieuwierzytelnieni użytkownicy) przegląda stronę. Naprawiono w wersji 2.0.13.

Wtyczka Grav API (getgrav/grav-plugin-api) przed wersją 1.0.13 zawiera obejście ograniczeń zakresu klucza API w DemoController. Prywatna metoda requireSuper() sprawdza isSuperAdmin() i zwraca wcześniej, przed wywołaniem requirePermission(), więc ograniczenie api_key_scopes (egzekwowane tylko w requirePermission()) jest pomijane. W rezultacie każdy klucz API z ograniczonym zakresem wybity na koncie super może ominąć ograniczenia zakresu podczas wywoływania operacji baseline() i reset() (np. POST /api/v1/demo/reset), umożliwiając przechwycenie baseline demo lub wymuszenie resetu demo. Wpływ jest ograniczony do kontroli silnika demo i jest warunkowy, jeśli tryb demo jest skonfigurowany z zasobami do zapisu.

Wtyczka Grav Form przed wersją 9.1.15 zawiera podatność na trwały atak XSS w etykietach opcji pól radio i przełączników, renderowanych z użyciem filtra Twig |raw. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać kod HTML i skrypty w etykiety opcji, które wykonują się w przeglądarkach odwiedzających i administratorów przeglądających formularz.

Grav przed wersją 2.0.13 nieprawidłowo waliduje ścieżki główne profili kopii zapasowych, co pozwala atakującym na archiwizowanie katalogów poza GRAV_ROOT, gdy nie znajdują się one na twardo zakodowanej liście zabronionych. Atakujący z dostępem do edycji profili mogą skonfigurować profile z ścieżkami przejścia, aby ujawnić wrażliwe pliki z lokalizacji takich jak /opt, /mnt lub /srv.

go-chi/chi w wersjach od 0.9.0 do przed 5.3.0 zawiera podatność na spoofing IP w middleware RealIP, który ustala źródłowy adres IP żądania (Request.RemoteAddr) na podstawie pierwszego adresu IP w nagłówku X-Forwarded-For bez weryfikacji zaufanych proxy. Złośliwy klient może dodać sfałszowany adres IP jako pierwszą wartość nagłówka X-Forwarded-For, aby podszyć się pod źródło żądania, potencjalnie omijając kontrolę dostępu lub fałszując logi żądań.

go-chi/chi do wersji 5.2.1 zawiera podatność na spoofing IP w middleware RealIP (middleware/realip.go). Funkcja realIP() odczytuje kontrolowane przez klienta nagłówki (True-Client-IP, X-Real-IP i X-Forwarded-For) i nadpisuje r.RemoteAddr bez weryfikacji, czy żądanie pochodzi od zaufanego proxy. Atakujący mogą podać dowolne adresy IP w tych nagłówkach, aby ominąć kontrolę dostępu opartą na IP, uniknąć limitów szybkości i ograniczeń geo-IP oraz zanieczyścić logi audytowe. Naprawiono w wersji 5.3.0.

go-chi chi w wersjach >= 5.2.1 i przed 5.3.0 zawiera podatność na spoofing IP w middleware RealIP, który ślepo ufa pierwszej (skrajnie lewej) wartości nagłówka X-Forwarded-For. Zdalny atakujący może ominąć listy kontroli dostępu oparte na IP i mechanizmy ograniczania szybkości oraz sfałszować wpisy logów, podając sfałszowany adres IP w nagłówku X-Forwarded-For. Problem naprawiono w wersji 5.3.0.