Katalog podatności CVE

Arcane to interfejs do zarządzania kontenerami Docker, obrazami, sieciami i wolumenami. W wersjach przed 1.19.4, metoda ProjectService.GetProjectFileContent zwracała zawartość dowolnej dyrektywy include z pliku compose projektu przed przeprowadzeniem walidacji ścieżek, co umożliwiało atakującemu odczytanie plików systemowych.

Arcane, interfejs do zarządzania kontenerami Docker, przed wersją 1.19.2 zawiera podatność polegającą na braku autoryzacji administratora w punkcie końcowym PUT /api/environments/{id}/templates/variables. Każdy uwierzytelniony użytkownik niebędący administratorem może nadpisać globalne zmienne środowiskowe używane we wszystkich projektach.

Arcane to interfejs do zarządzania kontenerami Docker, obrazami, sieciami i wolumenami. W wersjach przed 1.19.0, nieautoryzowany endpoint GET /api/app-images/logo odzwierciedla parametr zapytania koloru dostarczony przez użytkownika w treści dokumentu SVG, co pozwala na wstrzyknięcie złośliwego kodu JavaScript.

Podatność w Klever-Go przed wersją 1.7.17. Zdalna, nieuwierzytelniona luka typu denial-of-service w funkcji Batch.Decompress (data/batch/batch.go) umożliwia dowolnemu uczestnikowi tematu obsługiwanego przez MultiDataInterceptor alokację wielogigabajtowych stert na węźle odbierającym z pakietu gossip o rozmiarze poniżej 50 KiB. Pojedynczy pakiet może spowodować zabicie walidatora przez OOM.

xiaomusic v0.5.7 zawiera nieuwierzytelnioną podatność na path traversal w punkcie końcowym GET /music/{file_path:path}. Atakujący może odczytać dowolne pliki poza zamierzonym katalogiem muzyki, wykorzystując niekompletne sprawdzenie prefiksu ścieżki.

MoviePilot v2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym proxy obrazów. Uwierzytelniony atakujący może wysyłać żądania do dowolnych adresów URL, podając ciasteczko resource_token i URL, którego domena pasuje do skonfigurowanej listy dozwolonych domen.

W bibliotece agno w wersji 2.6.5 wykryto podatność na wstrzykiwanie SQL w backendzie bazy danych ClickHouse. Luka występuje w metodzie delete_by_metadata() w pliku clickhousedb.py, która niebezpiecznie interpoluje klucze i wartości metadanych do zapytań SQL. Atakujący może wstrzyknąć dowolne wyrażenia SQL, co umożliwia usunięcie wszystkich wierszy, wybranie konkretnych danych lub ich wyodrębnienie poprzez błędy lub ślepe wstrzykiwanie SQL.

GitHub CLI (gh) przed wersją 2.93.0 nieprawidłowo dołącza nagłówek autoryzacji do żądań API kierowanych do mirrorów repozytorium TUF. Błąd w normalizacji nazw hostów powoduje, że token użytkownika jest wysyłany do zewnętrznych serwerów, takich jak tuf-repo.github.com, co stanowi naruszenie bezpieczeństwa.

W Dokploy w wersji 0.29.0 i wcześniejszych funkcja deleteRegistry wykonuje polecenie docker logout bez odpowiedniego escapowania argumentu registryUrl, co umożliwia wstrzyknięcie poleceń powłoki. W przeciwieństwie do funkcji docker login, która używa shEscape(), brak zabezpieczeń w deleteRegistry stwarza podatność na ataki przez spreparowany adres URL rejestru.

Funkcja przesyłania szablonów w Emlog Pro v2.6.9 zawiera podatność na path traversal, umożliwiającą uwierzytelnionym administratorom wykonanie dowolnego kodu PHP. Poprzez przesłanie złośliwego archiwum ZIP z sekwencjami nawigacji w nazwach plików, atakujący może nadpisać domyślne pliki szablonów lub bezpośrednio dołączyć złośliwe pliki kodu do bieżącego szablonu.

Podatność w OpenClaw przed wersją 2026.5.18 umożliwia ominięcie zakresu w trasie chat.send bramy. Atakujący z zakresem operator.write mogą dostarczać polecenia przez dziedziczone zewnętrzne trasy, aby ominąć wymagania zakresów operator.approvals i operator.admin.

W OpenClaw przed wersją 2026.5.18 wykryto podatność polegającą na pominięciu autoryzacji w natywnych przyciskach zatwierdzania QQBot. Brak wymuszenia tożsamości zatwierdzającego pozwala użytkownikom niebędącym zatwierdzającymi na kliknięcie przycisków i rozwiązywanie oczekujących wniosków o zatwierdzenie wykonania lub wtyczek bez odpowiedniej autoryzacji.

Podatność w OpenClaw przed wersją 2026.5.4 w wbudowanym pluginie device-pair pozwala na ominięcie autoryzacji. Użytkownicy czatu z uprawnieniami do wysyłania wiadomości, którzy nie są właścicielami, mogą generować kody bootstrap do parowania urządzeń bez odpowiedniej walidacji zakresu uprawnień.

W Shibby Tomato 1.28 znaleziono podatność w nieznanej funkcji pliku usr/sbin/miniupnpd, która prowadzi do nadmiernego zużycia zasobów. Atak może być przeprowadzony zdalnie. Produkt ten jest już nie wspierany przez producenta.

W Shibby Tomato 1.28 w komponencie SUBSCRIBE Call Handler funkcja send w pliku usr/sbin/miniupnpd umożliwia atak SSRF (Server-Side Request Forgery). Podatność może być wykorzystana zdalnie. Projekt jest zastąpiony przez FreshTomato i nie jest już wspierany.

W Shibby Tomato 1.28 wykryto podatność w funkcji sub_90F0 pliku multimon.cgi, prowadzącą do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie. Projekt jest zastąpiony przez FreshTomato i nie jest już wspierany.

Wykryto podatność w oprogramowaniu Shibby Tomato do wersji 1.28. Problem dotyczy funkcji sub_9068 w pliku tomatoups.cgi w ramach komponentu UPS Service, co prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a projekt jest już nieaktualny i zastąpiony przez FreshTomato.

W Shibby Tomato 1.28 wykryto podatność w funkcji get_ups_field pliku tomatodata.cgi. Manipulacja argumentem Date może prowadzić do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie.

Podatność SQL Injection w Open ISES Project 3.30A pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez parametr ticket_id w żądaniach GET do skryptu add_facnote.php. Atakujący mogą wyodrębnić wrażliwe dane z bazy, w tym szczegóły wersji.

Projekt Open ISES 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametrze p1. Atakujący mogą wysyłać żądania GET do city_graph.php z spreparowanymi ładunkami SQL w celu wydobycia poufnych informacji z bazy danych, w tym nazw schematów.