Katalog podatności CVE

Xinference (commit 4a94832, v3.x) zawiera nieuwierzytelnioną podatność na odczyt plików o dowolnej ścieżce w punkcie końcowym POST /v1/models/llm/auto-register, który akceptuje parametr model_path dostarczony przez wywołującego bez uwierzytelniania lub ograniczenia ścieżki. Punkt końcowy odczytuje i analizuje pliki config.json, tokenizer_config.json i chat_template.jinja pod podaną ścieżką i odzwierciedla ich zawartość z powrotem do wywołującego, co pozwala nieuwierzytelnionemu atakującemu na przeszukiwanie systemu plików serwera i wyodrębnianie zawartości plików o tych nazwach w dowolnym katalogu.

OGX (dawniej Llama Stack, commit fbe8e0f) zawiera nieuwierzytelnioną podatność na fałszerstwo żądań po stronie serwera (SSRF) w punkcie końcowym POST /v1/responses zgodnym z OpenAI. Definicje narzędzi MCP akceptują parametr server_url (wraz z nagłówkami i wartościami autoryzacji), który jest pobierany po stronie serwera bez walidacji miejsca docelowego; istniejąca funkcja validate_url_not_private() używana dla innych adresów URL nie jest stosowana do server_url. W domyślnej konfiguracji startowej, która działa bez uwierzytelniania, zdalny nieuwierzytelniony atakujący może spowodować, że serwer otworzy połączenia z dowolnymi wewnętrznymi adresami (w tym punktami końcowymi metadanych chmury, takimi jak http://169.254.169.254/) i przekazać nagłówki i tokeny bearer dostarczone przez atakującego do tych miejsc docelowych.

Chroma 1.5.9 nie sprawdza maksymalnych granic parametrów indeksu HNSW: max_neighbors, ef_construction i ef_search w żądaniach tworzenia kolekcji. Nieuwierzytelnieni atakujący mogą podać dowolnie duże wartości parametrów, aby wyczerpać pamięć serwera i spowodować odmowę usługi podczas kompakcji indeksu.

cli-mcp-server 0.2.5 zawiera podatność na ominięcie listy dozwolonych poleceń w funkcji _validate_command_with_operators, gdy włączona jest opcja ALLOW_SHELL_OPERATORS. Atakujący mogą użyć składni podstawiania poleceń powłoki, takiej jak $(...) lub backticks, aby wykonać polecenia spoza listy dozwolonych, które omijają walidację ALLOWED_COMMANDS.

Trigger.dev przed wersją 4.5.2 nie weryfikuje przynależności środowiska podczas operacji ponownego odtwarzania uruchomień, co pozwala uwierzytelnionym atakującym na wstrzykiwanie zadań do dowolnych środowisk. Atakujący mogą odtwarzać własne uruchomienia w środowiskach innych organizacji lub projektów, aby zużywać zasoby ofiary i zanieczyszczać historię uruchomień.

git-mcp-server 2.15.1 zawiera podatność na wstrzykiwanie argumentów w parametrach ref i object narzędzi git_log, git_diff i git_show, które nie walidują wiodących myślników. Atakujący mogą wstrzykiwać opcje linii poleceń gita, takie jak --output=, aby zapisywać pliki poza repozytorium w dowolnych ścieżkach dostępnych dla procesu.

sift (sift.js) 17.1.3 wylicza klucze zapytań za pomocą pętli for...in, która przechodzi po łańcuchu prototypów, i obsługuje każdy pasujący klucz operatora, w tym $where. Operacja $where kompiluje wartość string do funkcji za pomocą new Function, chyba że ustawiono CSP_ENABLED (domyślnie nie). W rezultacie, jeśli prymityw zanieczyszczenia prototypu w innym miejscu procesu ustawi Object.prototype.$where na złośliwy string, nawet nieszkodliwe wywołania filtrów, takie jak sift({}), wykonają dowolny kod JavaScript. Dodatkowo, przekazanie niezaufanego obiektu zapytania zawierającego string $where bezpośrednio do sift skutkuje wykonaniem kodu w domyślnej konfiguracji.

goose 1.37.0 wykonuje dowolne polecenia z rozszerzeń stdio przepisów i retry.checks bez kontroli bezpieczeństwa. Atakujący mogą rozpowszechniać złośliwe przepisy, które wykonują polecenia powłoki jako użytkownik uruchamiający goose, omijając skan bezpieczeństwa przepisów, który nie sprawdza rozszerzeń ani konfiguracji ponowień.

Postgres MCP Pro 0.3.0 zawiera podatność na obejście trybu ograniczonego, gdzie walidacja nazw funkcji nie jest stosowana do węzłów RangeFunction w klauzulach FROM. Atakujący mogą wykonywać funkcje odczytu plików, takie jak pg_read_file, przez składnię klauzuli FROM, aby czytać dowolne pliki pomimo ochron trybu ograniczonego.

AppFlowy-Cloud 0.9.64 nie weryfikuje, czy żądane obiekty collab należą do przestrzeni roboczej w kontrolach autoryzacji, co pozwala atakującym na dostęp do dokumentów i wierszy bazy danych w różnych przestrzeniach roboczych. Atakujący mogą podać identyfikator obiektu ofiary z własnym identyfikatorem przestrzeni roboczej, aby ominąć kontrolę dostępu i czytać, modyfikować lub usuwać dane między przestrzeniami roboczymi.

Douyin_TikTok_Download_API do wersji 4.1.2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punktach końcowych /api/download i /api/hybrid/video_data, która pozwala nieuwierzytelnionym atakującym na pobieranie dowolnych adresów URL poprzez podanie parametru url. Atakujący mogą żądać wewnętrznych usług, w tym punktów końcowych metadanych chmury, i odzyskiwać treści odpowiedzi zawierające wrażliwe dane uwierzytelniające poprzez komunikaty błędów.

Blinko 1.8.7 zawiera podatność na obejście autoryzacji (IDOR) w wielu procedurach tRPC (message.list, message.update, message.delete, message.clearAfter w server/routerTrpc/message.ts oraz conversation.clearMessages w server/routerTrpc/conversation.ts). Chociaż te procedury wymagają uwierzytelnienia, odpytywają bazę danych na podstawie identyfikatora rozmowy lub wiadomości dostarczonego przez wywołującego, bez weryfikacji, czy zasób należy do konta żądającego. Każdy uwierzytelniony użytkownik może zatem odczytać pełną historię czatu AI innego użytkownika, modyfikować treść pojedynczych wiadomości oraz usuwać lub czyścić całe rozmowy, wyliczając sekwencyjne identyfikatory całkowite.

firecrawl-mcp-server 3.20.2 zawiera podatność na dowolny odczyt plików lokalnych w narzędziu firecrawl_parse, które akceptuje nieograniczone argumenty filePath bez walidacji zawartości katalogu. Atakujący mogą podać ścieżki bezwzględne lub sekwencje przejść katalogów, aby odczytać wrażliwe pliki, takie jak poświadczenia i zmienne środowiskowe, które są następnie przesyłane i zwracane do kontekstu modelu.

Podatność na alokację zasobów bez limitów lub ograniczeń w elixir-mint mint pozwala zdalnemu serwerowi HTTP na wyczerpanie pamięci na hoście klienta i spowodowanie odmowy usługi. Dwa stany parsera odpowiedzi HTTP/1 gromadzą dane serwera bez żadnego limitu. W lib/mint/http1.ex, decode_status_line/4 przechowuje nieskonsumowane dane w conn.buffer, gdy linia statusu jest niekompletna, a decode_body/5 robi to samo dla niezakończonej linii rozszerzenia fragmentu. Oba czekają na CRLF, którego serwer nie musi wysyłać, a conn.buffer jest poprzedzany każdą kolejną wiadomością z gniazda. Budżet :max_header_list_size jest podłączony tylko do decode_headers/5 i decode_trailer_headers/4, więc żaden z tych stanów nie jest nim objęty. Złośliwy serwer lub serwer osiągnięty przez kontrolowane przez atakującego przekierowanie lub pobrany adres URL, strumieniuje bajty w nieskończoność, aż węzeł BEAM zostanie zabity przez mechanizm obsługi braku pamięci systemu operacyjnego. Wariant rozszerzenia fragmentu jest osiągany po prawidłowej linii statusu i kompletnym, prawidłowym nagłówku, więc pośrednik sprawdzający tylko nagłówki widzi zwykłą odpowiedź 200. Ten problem dotyczy mint: od 0.1.0 przed 1.10.0.

IBM App Connect Enterprise oraz IBM Integration Bus for z/OS z adapterem SAP są podatne na atak XML External Entity (XXE). Podatność dotyczy wersji 13.0.1.0 do 13.0.8.1, 12.0.1.0 do 12.0.12.28 oraz 10.1.0.0 do 10.1.0.7.

Acunetix dla Windows zawiera podatność lokalnej eskalacji uprawnień w silniku skanowania podatności WWW (wvsc.exe). Niskouprzywilejowany atakujący może wykorzystać brak twardo zakodowanej ścieżki katalogu dla plików OpenSSL, aby wykonać dowolny kod jako SYSTEM.

GastroMenum Web Panel przed wersją 31.08.2026 zawiera podatność polegającą na obserwowalnej różnicy odpowiedzi, która umożliwia footprinting konta (Account Footprinting).

Podatność SQL Injection w Apache Griffin Hive Metastore Module we wszystkich wersjach. Projekt jest wycofany, więc nie planuje się wydania poprawki. Zaleca się znalezienie alternatywy lub ograniczenie dostępu do instancji tylko dla zaufanych użytkowników.

Wtyczka LearnDash LMS dla WordPressa do wersji 5.1.5 włącznie zawiera podatność nieograniczonego przesyłania plików. Funkcja 'learndash_fileupload_process' waliduje tylko pierwszy plik z tablicy, co pozwala uwierzytelnionym atakującym z dostępem subskrybenta na przesyłanie niedozwolonych plików, w tym PHP, do katalogu wp-content/uploads/learndash/assignments/.

Actualizer w wersji 1.2.0 i wcześniejszych zawiera podatność polegającą na akceptowaniu nieprawidłowych haseł (fail-open) w skrypcie Shell/debian-minbase-install.sh. Instalator nie sprawdza kodu powrotu polecenia mkpasswd, co może prowadzić do pustych pól haseł dla kont root i alpha.