Katalog podatności CVE

Podatność Brak autoryzacji w HTTP Connector w Google Cloud Integration Connectors przed 2025-12-11 na Google Cloud Platform pozwala uwierzytelnionemu użytkownikowi na eskalację uprawnień i przejęcie projektu Google Cloud poprzez nieautoryzowane dołączenie konta usługi. Podatność została załatana 11 grudnia 2025, nie jest wymagane działanie klienta.

MISP zawiera podatność CSRF w funkcji szybkiej edycji grup udostępniania. Akcje addOrg, removeOrg, addServer i removeServer współdzielą pomocnik __initialiseSGQuickEdit(), gdzie walidacja metody HTTP mająca ograniczyć te operacje do żądań POST została zakomentowana. W rezultacie te zmieniające stan akcje mogły być wywoływane za pomocą żądań GET. Atakujący może spreparować URL i spowodować, że uwierzytelniony użytkownik MISP z odpowiednimi uprawnieniami go otworzy, co może zmodyfikować członkostwo w grupie udostępniania bez intencji ofiary.

DreamMaker opracowany przez Interinfo ma podatność SQL Injection. Uwierzytelnieni zdalni atakujący mogą wstrzykiwać dowolne polecenia SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.

Wersje fastify przed 5.12.2 traktują obiekt rozwiązany przez pomyślny asynchroniczny walidator Ajv jako protokół wyniku wartości używany przez niestandardowe kompilatory walidatorów. Jeśli żądanie przechodzące przez schemat trasy zawiera właściwość o nazwie value na poziomie głównym, fastify zastępuje całe ciało żądania wartością tej właściwości przed uruchomieniem handlera, więc handler otrzymuje inny obiekt niż ten, który spełnił schemat. Uwierzytelniony użytkownik o niskich uprawnieniach może to wykorzystać do zastąpienia zweryfikowanego ciała zagnieżdżonymi danymi i wywołania operacji, której schemat trasy nie autoryzował, prowadząc do nieautoryzowanych zmian stanu i ujawnienia danych.

Wersje fastify przed 5.12.2 decydują, czy skompilować schemat żądania, na podstawie prawdziwości JavaScript, ale JSON Schema Draft 7 definiuje wartość false jako prawidłowy schemat, który odrzuca każde wystąpienie. Gdy aplikacja przypisze false do schematu body, querystring, params lub headers trasy, aby odrzucić wszystkie dane wejściowe, fastify traktuje to jako brak schematu, nie kompiluje walidatora i uruchamia handler trasy na każdym żądaniu. Nieuwierzytelniony zdalny klient może zatem dotrzeć do handlera, który zgodnie z zamysłem miał być nieosiągalny, co stanowi całkowite obejście walidacji i może prowadzić do nieautoryzowanych zmian stanu lub wykonania wyłączonych operacji.

Wersje fastify od 4.0.0 do przed 5.12.2 mogą kierować źle sformatowany URL wysłany pod prefiksem jednej wtyczki do niestandardowego handlera not-found innej wtyczki i wywoływać go bez hooka preHandler zadeklarowanego dla tego handlera. Wewnętrzny router not-found dla enkapsulowanych handlerów kieruje błędne ścieżki przez wspólny wskaźnik handlera przed dekodowaniem URL, ignorując prefiks i pomijając normalny cykl życia wybranego handlera. Nieuwierzytelniony atakujący może zatem dotrzeć do chronionego uwierzytelnianiem prywatnego fallbacku przez niepowiązany publiczny prefiks i odczytać jego pełną odpowiedź, omijając hook uwierzytelniający i łamiąc enkapsulację prefiksu.

Podatność nieprawidłowej autoryzacji w MISP pozwalała uwierzytelnionym użytkownikom na usuwanie atrybutów z zdarzeń pomimo braku wymaganych uprawnień perm_modify lub perm_modify_org. Dotknięte ścieżki usuwania atrybutów opierały się na sprawdzeniach członkostwa w organizacji wykonywanych przez MispAttribute::deleteAttribute(), ale nie egzekwowały spójnie zasad autoryzacji modyfikacji zdarzeń MISP. W rezultacie użytkownik należący do organizacji powiązanej ze zdarzeniem mógł potencjalnie usuwać pojedyncze atrybuty lub wykonywać masowe usuwanie atrybutów, nawet jeśli jego rola nie była upoważniona do modyfikacji zdarzenia.

Wada autoryzacji w MISP pozwalała uwierzytelnionemu użytkownikowi na przesłanie sharing_group_id bez weryfikacji, czy użytkownik jest upoważniony do korzystania z przywołanej Grupy Udostępniania. W kilku przepływach tworzenia i edycji atrybutów oraz klastrów Galaxy walidacja przesłanej Grupy Udostępniania była wykonywana tylko wtedy, gdy żądanie jawnie ustawiało pole dystrybucji na 4 ("Sharing Group"). Atakujący mógł więc spreparować żądanie zawierające sharing_group_id, pomijając parametr dystrybucji lub w inny sposób unikając warunku dystrybucja == 4, co powodowało pominięcie sprawdzenia autoryzacji Grupy Udostępniania.

Nieprawidłowa walidacja odpowiedzi OCSP w sterownikach Snowflake dla Pythona, Go, JDBC i Node.js pozwalała na zaakceptowanie unieważnionego certyfikatu TLS jako ważnego, ponieważ odpowiedzi OCSP nie były niezawodnie powiązane z walidowanym certyfikatem, a definitywne błędy weryfikacji były traktowane jako przejściowe. Atakujący typu man-in-the-middle posiadający unieważniony certyfikat i jego klucz prywatny dla hosta Snowflake lub stage mógł spowodować, że sterownik ustanowi sesję TLS z kontrolowanym przez atakującego endpointem, co pozwalało na odczyt i modyfikację danych przesyłanych w tym połączeniu. Udana eksploatacja wymaga pozycji on-path i odpowiedniego klucza prywatnego, a wpływ ogranicza się do danych przesyłanych w przechwyconym połączeniu. Poprawka jest dostępna w Snowflake Connector for Python v4.7.3, Snowflake Go Driver v2.2.0, Snowflake JDBC Driver v4.3.4 (w tym snowflake-jdbc-fips i snowflake-jdbc-thin) oraz Snowflake Node.js Driver v3.3.0. Użytkownicy muszą ręcznie zaktualizować.

W Corosync, w module Totem Process Group (totempg), podczas składania fragmentów wiadomości multicast wykryto przepełnienie bufora na stercie. Brak kontroli granic w wersjach wydaniowych pozwala atakującemu z sieci na spowodowanie przepełnienia bufora kontrolowanymi danymi, co może doprowadzić do awarii demona Corosync i odmowy usługi dla całego klastra.

Produkty PALLET CONTROL zawierają podatność związaną z nieprawidłowymi domyślnymi uprawnieniami, która może pozwolić lokalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami SYSTEM.

Wtyczka WooCommerce od Automattic zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji przed 11.0.

W bibliotece libsoup wykryto podatność use-after-free w implementacji klienta HTTP/2. Złośliwy serwer HTTP/2 lub atakujący typu man-in-the-middle może wykorzystać tę podatność, gdy aplikacja GNOME wysyła plik przez HTTP/2, a serwer wysyła ramkę GOAWAY podczas asynchronicznego odczytu treści pliku. Może to prowadzić do uszkodzenia pamięci, wycieku informacji lub wykonania dowolnego kodu.

Aplikacja Canva na Androida przed wersją 2.376.0 nie ograniczała nagłówków zwracanych do zewnętrznego pochodzenia działającego w uprzywilejowanym WebView. Osoba atakująca kontrolująca WebView mogła uzyskać dostęp do sesji użytkownika.

Apache Allura do wersji 1.20.0 włącznie ma podatność na ujawnienie niepublicznych informacji poprzez wyszukiwanie. Problem został naprawiony w wersji 1.21.0.

Produkt XING CPTrans-ME-X zawiera podatność na ujawnienie wrażliwych informacji systemowych nieautoryzowanym podmiotom (CWE-497). Może dojść do wycieku wrażliwych informacji systemowych.

Wtyczka Hummingbird Performance do WordPressa przed wersją 3.21.2 nie ogranicza ustawienia sieciowego wyłącznie do administratorów sieci. Pozwala to administratorowi dowolnej pojedynczej witryny w sieci multisite na wykonanie dowolnego kodu w całej sieci.

Wtyczka Classified Listing dla WordPressa przed wersją 6.1.1 nie weryfikuje, czy wywołujący jest właścicielem lub ma uprawnienia do edycji docelowej oferty przed wykonaniem akcji AJAX edycji obrazów AI, która usuwa lub dołącza multimedia. Pozwala to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, na trwałe usuwanie załączników z dowolnej oferty innego użytkownika oraz dołączanie plików do takiej oferty.

ipmi-oem w FreeIPMI przed wersją 1.6.19 zawiera przepełnienie bufora na stosie (stack-based buffer over-read) w funkcji ipmi_oem_fujitsu_get_sel_entry_long_text w pliku ipmi-oem/ipmi-oem-fujitsu.c, gdy BMC zwraca krótką odpowiedź. Jest to inna podatność niż CVE-2026-50031 (która ma inne dotknięte wersje).

W systemie Doctor Appointment System 1.0 od code-projects wykryto podatność w pliku /contactus.php. Manipulacja argumentem firstname prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany i może być wykorzystany.