Katalog podatności CVE

ApostropheCMS to system zarządzania treścią oparty na Node.js, który w wersjach do 4.29.0 ma lukę w procesie resetowania hasła. Luka ta pozwala atakującemu na wysłanie fałszywego żądania resetu, które prowadzi do wysłania linku resetującego na domenę atakującego.

ApostropheCMS to otwartoźródłowy system zarządzania treścią oparty na Node.js. W wersjach do 4.29.0 w procesie importu widgetu rich-text występuje podatność na uwierzytelnione ataki SSRF, umożliwiająca atakującemu wymuszenie na serwerze pobrania kontrolowanych przez niego adresów URL.

ApostropheCMS w wersji 4.29.0 zawiera podatność na przechowywane ataki XSS w funkcjonalności widgetu obrazów. Użytkownik z rolą Edytora może skonfigurować link widgetu obrazów, aby używał ładunku URL javascript:, co pozwala na publikację złośliwego widgetu na stronie.

Discourse to otwartoźródłowa platforma dyskusyjna, w której występuje luka w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1. Wydarzenia czatu dla publicznych kanałów kategorii są publikowane do MessageBus bez odpowiednich uprawnień, co pozwala na odbieranie wiadomości czatu przez subskrybentów bez włączonego czatu w czasie rzeczywistym.

MISP zawiera wiele podatności związanych z masowym przypisywaniem w obsłudze kolekcji, kolekcji tagów, delegacji zdarzeń i atrybutów cieni. Umożliwia to atakującym, którzy są uwierzytelnieni, manipulowanie polami, które powinny być kontrolowane przez serwer, co prowadzi do nieautoryzowanej modyfikacji obiektów MISP.

W MISP występuje podatność na masowe przypisanie w punkcie końcowym tworzenia grupy udostępniania. Kontroler nie usunął pola id dostarczonego przez użytkownika przed zapisaniem danych, co może prowadzić do nieautoryzowanej modyfikacji istniejących grup udostępniania.

MISP zawiera niebezpieczną domyślną konfigurację, w której kontrola Security.check_sec_fetch_site_header jest wyłączona. To umożliwia atakującym zdalnym, nieautoryzowanym użytkownikom wysyłanie złośliwych żądań do punktów końcowych automatyzacji MISP w imieniu uwierzytelnionych użytkowników.

W MISP występuje podatność związana z nieprawidłową autoryzacją, która pozwala administratorowi organizacji na celowanie w konta administratorów serwisu w tej samej organizacji za pomocą funkcji e-mailowej. Kod ograniczał administratorów organizacji do użytkowników w ich własnej organizacji, ale nie wykluczał kont z rolą administratora serwisu z zapytań do odbiorców.

AgenticMail przed wersją 0.9.27 udostępniał transport HTTP bez warstwy uwierzytelniania, co pozwalało na bezpośrednie wywoływanie narzędzi przez zdalnego klienta. Problem ten został naprawiony w wersji 0.9.27.

Koel to darmowe, otwarte rozwiązanie do strumieniowania muzyki. W wersjach przed 9.3.5, Koel nie weryfikował poprawnie adresów URL odcinków podcastów, co umożliwiało ataki SSRF na wewnętrzne usługi.

Kitty to wieloplatformowy terminal oparty na GPU. W wersjach przed 0.47.0, program mogący zapisywać bajty do terminala kitty może spowodować wykonanie dostarczonego przez atakującego kodu Python w działającym procesie kitty z pełnymi uprawnieniami użytkownika.

W wersjach przed 0.47.0 terminala Kitty istnieje możliwość wstrzykiwania poleceń do subshella poprzez błąd Kitty. Specjalny kod ucieczki powoduje, że Kitty zwraca błąd, który nie jest odpowiednio zabezpieczony i jest poprawnie wyświetlany w terminalu, co pozwala na jego wykonanie przez używaną powłokę.

W aplikacji Zoom Workplace przed wersją 7.0.4 dla Androida i przed 7.0.3 dla iOS występuje niewłaściwa autoryzacja w obsłudze niestandardowego schematu URL, co może pozwolić nieautoryzowanemu użytkownikowi na eskalację uprawnień poprzez dostęp do sieci.

Podatność w aplikacji Zoom Workplace dla systemów Android (przed wersją 7.0.4) i iOS (przed wersją 7.0.3) wynika z nieprawidłowej autoryzacji w obsłudze niestandardowego schematu URL. Umożliwia ona nieuwierzytelnionemu atakującemu eskalację uprawnień poprzez dostęp sieciowy.

API platformy Naxclow, które zwraca szczegóły rejestracji przekaźników urządzeń, ujawnia trwałe poświadczenia bez weryfikacji, czy żądający jest rzeczywistym urządzeniem lub właścicielem. Osoba mogąca przedstawić ważny podpis żądania platformy może uzyskać poświadczenia dla dowolnych urządzeń i zarejestrować się na przekaźniku jako to urządzenie.

Urządzenia Naxclow wykorzystują stałe poświadczenie relacyjne, które nie jest rotowane i jest ponownie wydawane urządzeniu przy każdym uruchomieniu. Poświadczenie to pozostaje ważne na zawsze i nie może być zresetowane ani unieważnione przez prawowitego właściciela.

Parse Server przed wersjami 8.6.77 i 9.9.1-alpha.1 jest podatny na atak, w którym nieautoryzowany użytkownik może wysłać złośliwe żądanie HTTP, co prowadzi do nadmiernego zużycia CPU na serwerze.

W platformie Naxclow występuje luka w procesie onboardingu, która pozwala atakującemu na powtórzenie sekwencji potwierdzenia i przypisania, co umożliwia cichą zmianę przypisania urządzenia do dowolnego konta.

W Moby, w wersjach przed 2.0.0-beta.14 oraz w Docker Engine przed 29.5.1, występuje warunkowa rywalizacja podczas konfiguracji montowania, co pozwala złośliwemu kontenerowi na przekierowanie celu montowania do dowolnej ścieżki na hoście. Może to prowadzić do nadpisania plików na hoście lub do odmowy usługi.

Biblioteka form-data przed wersjami 2.5.6, 3.0.5 i 4.0.6 nie koduje znaków CR, LF i cudzysłowu w nazwach pól i opcjach filename, co pozwala na wstrzyknięcie nagłówków lub przemycenie dodatkowych części multipart. Atak wymaga, aby aplikacja przekazywała niezaufane dane jako nazwę pola.