Katalog podatności CVE

RouterOS WebFig zawiera podatność na nieuwierzytelniony odczyt plików w ścieżce /jsproxy, gdzie nowo przydzielona sesja zachowuje nieaktualny, niezainicjalizowany wskaźnik principal używany do autoryzacji plików. Nieuwierzytelniony atakujący może przygotować alokator tak, aby ścieżka serwująca pliki wyłuskała ten wskaźnik z wystarczającymi uprawnieniami, a następnie dostarczyć składniki katalogu nadrzędnego w zaszyfrowanym URI, aby uciec z przestrzeni nazw plików WebFig i ujawnić pliki należące do roota, w tym magazyny konfiguracji zawierające poświadczenia. Problem dotyczy tylko gałęzi 7.x; naprawiono w wersjach 7.23.4 (Long-term) i 7.24.2 (Stable).

RouterOS nie porównuje całego klucza publicznego RSA podczas dopasowywania żądania uwierzytelnienia SSH do autoryzowanego klucza użytkownika, sprawdzając typ klucza i moduł, ale pomijając wykładnik. Ponieważ weryfikacja podpisu używa klucza dostarczonego przez klienta, atakujący znający autoryzowany moduł RSA może dostarczyć klucz z wykładnikiem jeden, sfałszować podpis i otworzyć kanał SSH jako docelowy użytkownik bez posiadania klucza prywatnego. Problem dotyczy tylko gałęzi 7.x i został naprawiony w wersjach 7.23.4 (Long-term) i 7.24.2 (Stable).

Podatność w N-central przed wersją 2026.3 HF 3 prowadzi do obejścia uwierzytelniania w wewnętrznych API.

Interpreter BPF w libpcap traktuje przesunięcie w instrukcji 'ja L' jako liczbę całkowitą ze znakiem, aby realizować pętle przez skoki wstecz, ale nie ogranicza liczby iteracji pętli. Spreparowany program filtrujący lub prymityw 'protochain' użyty na spreparowanym pakiecie sieciowym może spowodować nieskończoną pętlę interpretera.

W instrukcjach BPF, które ładują/zapisują wartość z/do rejestru pamięci scratch, indeks rejestru jest 32-bitową liczbą całkowitą bez znaku i nie może przekraczać 15, ale interpreter BPF w libpcap nie sprawdza tej wartości. W szczególnych, rzadkich przypadkach użycia, spreparowany program filtru może spowodować, że interpreter będzie próbował czytać i zapisywać pamięć procesu systemu operacyjnego w obszarze 16 GiB zaczynając od bieżącej ramki stosu na architekturach 64-bitowych oraz w całej przestrzeni adresowej na architekturach 32-bitowych.

Wtyczka Grav API przed wersją 1.0.20 buduje linki do resetowania hasła z niezaufanego nagłówka Host w punkcie końcowym forgot-password, co pozwala nieuwierzytelnionym atakującym przekierować tokeny resetowania do domen kontrolowanych przez atakującego. Atakujący mogą wysyłać żądania resetowania hasła dla dowolnego konta ze złośliwym nagłówkiem Host, przechwycić token resetowania z wiadomości e-mail ofiary i przejąć konto, w tym konta super-admina.

grav-plugin-api przed wersją 1.0.20 zawiera podatność eskalacji uprawnień w InvitationsController, gdzie metoda stripSuperFlags() usuwa tylko zagnieżdżone super flagi, ale nie usuwa odpowiedników z kropką, takich jak api.super. Menedżer niebędący super użytkownikiem z uprawnieniami api.access i api.users.write może utworzyć zaproszenie z super flagą z kropką w ładunku dostępu, która omija zabezpieczenia i utrwala się na nowym koncie. Atakujący mogą zaakceptować zaproszenie przez publiczny punkt końcowy bez rzeczywistej interakcji zaproszonego, aby utworzyć konto super-admina i natychmiast otrzymać ważny JWT do pełnej kontroli nad stroną.

grav-plugin-api przed wersją 1.0.20 nie waliduje uprawnień super odziedziczonych po grupach w zabezpieczeniach zarządzania użytkownikami, co pozwala menedżerom niebędącym super użytkownikami modyfikować konta super-adminów. Atakujący z uprawnieniami api.access i api.users.write mogą zmienić pola hasła na kontach z super uprawnieniami grupowymi, aby uzyskać pełną kontrolę administracyjną.

AVideo z włączoną wtyczką YPTSocket zawiera podatność na cross-site scripting, która pozwala nieuwierzytelnionym atakującym wykonywać dowolny JavaScript w przeglądarkach innych użytkowników poprzez mechanizm wywołań zwrotnych websocket. Atakujący mogą wysyłać spreparowane wiadomości socketowe z nazwami wywołań zwrotnych, które odwołują się do globalnych funkcji, takich jak avideoConfirmHTML, które przyjmują niezaufane dane i przypisują je do innerHTML, osiągając wykonanie skryptu w kontekście ofiary bez uwierzytelnienia lub interakcji użytkownika.

Bilibili Desktop do wersji 1.18.0 wyłącza weryfikację certyfikatów TLS w całym procesie i wykonuje niepodpisany zdalny JavaScript konfiguracyjny bez kontroli integralności. Atakujący znajdujący się w pozycji on-path w sieci może przechwycić pobieranie konfiguracji, wstrzyknąć dowolny JavaScript wykonywany w rendererze z dostępem do uprzywilejowanego mostu IPC oraz wykonać polecenia systemowe lub ukraść dane logowania.

Motyw Nokri – Job Board WordPress Theme dla WordPressa jest podatny na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w funkcji 'nokri_account_member_permissions' we wszystkich wersjach do 1.6.4 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej dodawanie nowych użytkowników Subscriber z uprawnieniami członków pracodawcy, którzy z kolei mogą eskalować uprawnienia poprzez aktualizację adresu e-mail dowolnego użytkownika, w tym administratorów.

Pterodactyl Panel przed wersją 1.14.1 nie weryfikuje uprawnień specyficznych dla akcji przy tworzeniu zaplanowanych zadań, co pozwala podużytkownikom z tylko uprawnieniem schedule.update na wykonywanie dowolnych poleceń konsoli. Atakujący mogą tworzyć i natychmiast wyzwalać zaplanowane zadania, które uruchamiają polecenia konsoli serwera gry, kontrolują stan zasilania serwera lub tworzą kopie zapasowe bez odpowiednich kontroli autoryzacji.

MindsDB do wersji 26.1.0 zawiera podatność na podrabianie żądań po stronie serwera w handlerze web crawler, która pozwala nieuwierzytelnionym atakującym na pobieranie dowolnych adresów URL poprzez dostarczenie kontrolowanych przez wywołującego adresów URL do CrawlerTable.list. Atakujący mogą obejść kontrolę listy dozwolonych, wykorzystując domyślną pustą konfigurację, i uzyskać dostęp do wewnętrznych usług oraz punktów końcowych metadanych chmury bez uwierzytelnienia.

Axolotl przed wersją 0.19.0 zawiera podatność zdalnego wykonania kodu w ścieżce multipack patch, gdzie parametr trust_remote_code domyślnie przyjmuje wartość None zamiast False, co omija zabezpieczenie. Atakujący może wykonać dowolny kod Python poprzez spreparowanie złośliwego repozytorium modelu Hugging Face wybranego jako base_model, ładowanego z zakodowanym na stałe trust_remote_code=True w AutoModelForCausalLM.from_pretrained.

SQL Chat zawiera cztery nieuwierzytelnione endpointy API, które akceptują parametry połączenia z bazą danych dostarczone przez klienta i wykonują dowolne zapytania SQL wobec hostów wskazanych przez atakującego. Atakujący mogą połączyć się z wewnętrznymi bazami danych, wykonywać polecenia SQL, enumerować schematy i przemieszczać się po sieci serwera bez uwierzytelnienia.

Webstudio do wersji 0.296.0 zawiera nieuwierzytelnioną podatność na podrabianie żądań po stronie serwera (SSRF) w trasach proxy /cgi/image, /cgi/video i /cgi/asset, gdy zmienna środowiskowa RESIZE_ORIGIN nie jest ustawiona. Atakujący mogą podać dowolne adresy URL do tych punktów końcowych, aby odczytać metadane instancji chmury, uzyskać dostęp do usług wewnętrznych i przeprowadzić rozpoznanie sieci w infrastrukturze instancji.

Coolify do wersji 4.3.17 zawiera podatność na obejście uwierzytelniania w obsłudze wywołania zwrotnego OAuth, która loguje użytkowników do istniejących kont wyłącznie na podstawie adresu e-mail, bez weryfikacji oświadczeń dostawcy ani powiązania tożsamości OAuth. Atakujący mogą zarejestrować adres e-mail ofiary u dowolnego włączonego dostawcy OAuth, aby uzyskać uwierzytelnione sesje jako ten użytkownik, omijając wymagania dotyczące hasła i uwierzytelnianie dwuskładnikowe.

Wtyczka Contact Form by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez nagłówek adresu IP we wszystkich wersjach do 1.10.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Nieuwierzytelniony atakujący może najpierw wywołać akcję 'updateNonce' — dostępną bez uwierzytelnienia z powodu jej braku na liście uprawnień wtyczki — aby uzyskać ważny nonce, a następnie wysłać formularz kontaktowy ze złośliwym ładunkiem w sfałszowanym nagłówku IP, takim jak X-Forwarded-For.

Wtyczka Abandoned Cart Pro for WooCommerce dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 10.7.1 włącznie. Wynika to z braku kontroli uprawnień i weryfikacji nonce w wielu akcjach AJAX, w tym wcap_save_connector_settings, wcap_send_manual_email, wcap_abandoned_cart_info i wcap_change_manual_email_data. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej modyfikację ustawień łącznika SMTP w celu kierowania administracyjnych wiadomości e-mail przez serwer kontrolowany przez atakującego i przechwytywanie linków do automatycznego logowania w celu uzyskania pełnego dostępu administracyjnego. Funkcja automatycznego logowania musi być włączona, co jest domyślną konfiguracją.