Katalog podatności CVE

Aplikacja ZTE Smart Life zawiera podatność na wstrzykiwanie SQL, która pozwala atakującym na wykonanie zapytań UNION SELECT w celu odczytania wrażliwych danych z bazy feedback.db, w tym kont użytkowników, numerów telefonów, treści opinii i ścieżek logów debugowania, co umożliwia kradzież lokalnych danych prywatnych.

Wtyczka DHL Shipping Germany dla WooCommerce przed wersją 4.0.1 nie chroni katalogu przechowywania etykiet wysyłkowych za pomocą kontroli dostępu niezależnej od serwera, polegając wyłącznie na pliku .htaccess Apache. Na serwerach nie honorujących .htaccess (np. nginx) nieuwierzytelniony odwiedzający może pobrać zapisane etykiety (zawierające imię i adres klienta), żądając przewidywalnych nazw plików.

Wtyczka MultiVendorX dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy żądany sklep należy do bieżącego użytkownika w jednym z endpointów REST API. Pozwala to użytkownikowi na poziomie sprzedawcy (vendor) na odczyt danych prowizji i finansowych innych sprzedawców.

Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.110 nie sanitizuje i nie escapuje ustawienia kategorii miejsca przed wyświetleniem go na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami (redaktorzy i wyżej) na przeprowadzenie ataków Stored XSS, nawet gdy możliwość unfiltered_html jest zabroniona (np. w multisite).

W epsilla-cloud vectordb do wersji 0.3.18/df5a5f5afb85a2376a0f2f316c79dea9b2c6ac7a znaleziono podatność w funkcji SplitTokens/ShuntingYard w pliku engine/query/expr/expr.cpp komponentu Filter Parser. Manipulacja prowadzi do niewłaściwego sprawdzania nietypowych warunków. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony.

W Baserow do wersji 2.3.2 wykryto problem w funkcji BaserowImpersonateAuthTokenSerializer w komponencie Inactive Non-Staff User Handler, który prowadzi do nieprawidłowej autoryzacji. Atak zdalny jest możliwy, ale wymaga dużej złożoności. Producent uważa, że może to być raczej błąd niż podatność, ale zaleca aktualizację do wersji 2.3.3.

Open WebUI w wersjach od 0.9.6 do 0.11.0 umożliwia uwierzytelnionemu użytkownikowi anulowanie zadań (np. generowania odpowiedzi modelu) innego użytkownika, znając jego identyfikator czatu. Dzieje się tak, ponieważ operacja usuwania czatu anuluje zadania przed sprawdzeniem uprawnień do usunięcia. Luka została naprawiona w wersji 0.11.0.

Podatność dotycząca tworzenia plików tymczasowych w wersji Linux Lenovo XClarity Essentials OneCLI 5.5.0 i niższych może pozwolić lokalnemu atakującemu o niskich uprawnieniach na nadpisanie lub obcięcie dowolnych plików lokalnych danymi generowanymi przez program, gdy OneCLI jest uruchamiany z podwyższonymi uprawnieniami.

W Systerel S2OPC do wersji 1.7.3 wykryto słabość w funkcji LockedStaMac_ProcessMsg_DeleteMonitoredItemsResponse w pliku src/ClientServer/frontend/client_wrapper/internal/state_machine.c komponentu DeleteMonitoredItemsRequest Handler. Manipulacja powoduje odczyt poza zakresem pamięci. Atak może być wykonany tylko lokalnie, a exploit został publicznie udostępniony.

Podatność Cross-Site Request Forgery w module Oidcc.Plug.AuthorizationCallback biblioteki oidcc_plug. Atakujący może sprawić, że przeglądarka ofiary zakończy przepływ autoryzacji, którego ofiara nie inicjowała, co prowadzi do zalogowania ofiary na konto atakującego.

Wtyczka Brizy dla WordPressa przed wersją 2.8.19 nieprawidłowo weryfikuje autoryzację na modyfikowanym obiekcie przed aktualizacją metadanych typu szablonu, walidując parametr żądania inny niż ten używany w operacji zapisu. Pozwala to użytkownikom z uprawnieniami Współautora i wyżej na zmianę przypisania typu szablonu dla szablonów należących do innych użytkowników.

Wtyczka Brizy dla WordPressa przed wersją 2.8.19 nie ogranicza prawidłowo, kto może modyfikować globalne dane projektowe witryny, oraz nie sanitizuje części tych danych przed ich wyświetleniem. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami Autora i wyżej przechowywanie dowolnego JavaScriptu, który jest następnie serwowany bez sanitizacji na stronach front-end i wykonuje się w przeglądarce każdego odwiedzającego, w tym administratorów.

Wtyczka MonsterInsights dla WordPressa przed wersją 11.1.0 nieprawidłowo weryfikuje podpis w jednej z nieuwierzytelnionych akcji AJAX. Gdy wtyczka nie jest połączona z Google Analytics, klucz HMAC jest pusty, co pozwala nieuwierzytelnionym atakującym na sfałszowanie podpisu i nadpisanie wartości konfiguracyjnej, zakłócając analitykę serwerową w trybie Manual GA4.

W SSSD znaleziono błąd w funkcji sss_nss_protocol_fill_initgr() w responderze NSS. Funkcja wstępnie przydziela miejsce na odpowiedź dla wszystkich wpisów grup, ale nie zmniejsza pakietu, gdy grupy są pomijane, co powoduje wysyłanie niezainicjalizowanych bajtów z sterty do klienta. Lokalny atakujący może to wykorzystać do ujawnienia danych z pamięci podręcznej katalogu i informacji o układzie sterty z procesu sssd_nss.

W bibliotece popt, służącej do parsowania opcji wiersza poleceń, znaleziono błąd off-by-one w funkcji poptStuffArgs. Przy wielokrotnym wywołaniu przez aplikację hosta lub przez głębokie zagnieżdżenie aliasów może dojść do uszkodzenia wewnętrznych danych programu. To uszkodzenie może potencjalnie umożliwić lokalnemu atakującemu wykonanie dowolnego kodu, jeśli aplikacja hosta następnie niebezpiecznie przetworzy zmienione dane.

W komponencie keycloak-services (część Red Hat Build of Keycloak) wykryto błąd w endpointcie wylogowania backchannel. Gdy dostawca tożsamości OIDC jest skonfigurowany do pomijania weryfikacji podpisu, system błędnie akceptuje żądania wylogowania bez podpisu kryptograficznego. Atakujący znający szczegóły sesji użytkownika może wymusić jego wylogowanie.

Podatność w kliencie HTTP Node.js powoduje desynchronizację żądań w serwerach proxy opartych na Node.js, które odtwarzają nagłówki wychodzące z widocznych nagłówków `IncomingMessage`, jednocześnie przesyłając oryginalne ciało żądania do ponownie używanego połączenia backendu. Node.js może pominąć nagłówki przekraczające `maxHeadersCount`/`maxHeaderPairs` w `req.headers`, `req.rawHeaders` i `req.headersDistinct`, ale nadal używać ich wewnętrznie do ramowania wiadomości HTTP, w szczególności ukrywając `Content-Length` przed aplikacją, podczas gdy ciało żądania jest nadal dostarczane.

Niewystarczająca weryfikacja autentyczności danych w Caliptra Core ROM i Core Firmware (funkcja validate_debug_unlock_token()) w trybie podsystemu pozwala atakującemu z dostępem do usługi podpisywania debug unlock integratora na odblokowanie debugowania produkcyjnego na niezamierzonym urządzeniu, prezentując ważny token wydany dla innego urządzenia o tym samym hashu klucza debug unlock. Nonce 384-bitowy nadal zapobiega replayowi wcześniej wydanych tokenów. Praktyczny wpływ jest ograniczony do utraty egzekwowania zakresu per-urządzenie w grupie urządzeń, które z założenia mają tego samego autorytetu odblokowania; nie umożliwia odblokowania debugowania na urządzeniach spoza tej grupy.

Misskey w wersjach od 2025.3.2 do 2026.5.4 (przed 2026.5.4) zawiera podatność polegającą na braku odpowiednich kontroli uprawnień, co umożliwia dostęp do niektórych danych z funkcji Direct Messages (dawniej Chat) niezależnie od uprawnień konta. Notatki z widocznością 'specified' nie są dotknięte. Problem został naprawiony w wersji 2026.5.4.

OpenAkita do wersji 1.27.12 zawiera podatność XSS w komponencie File Upload API, w pliku /api/upload. Manipulacja argumentem File umożliwia zdalne wykonanie skryptu. Eksploitacja jest trudna, ale exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.