Katalog podatności CVE

W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 wykryto podatność polegającą na przepełnieniu bufora stosu w funkcji formSetRoute pliku /goform/formSetRoute. Atakujący może zdalnie manipulować argumentami ip/mask/gateway, co prowadzi do przepełnienia bufora. Exploit został publicznie ujawniony i może być wykorzystany.

Biblioteka form-data-objectizer przed wersją 1.0.1 jest podatna na zanieczyszczenie prototypu (prototype pollution) poprzez przetwarzanie kluczy formularza w notacji nawiasowej (np. name[sub]). Atakujący może wysłać pole formularza o nazwie zaczynającej się od __proto__, co prowadzi do mutacji Object.prototype i wpływa na cały proces Node.js.

W n8n-MCP przed wersją 2.51.2, gdy włączono tryb wielodostępny (ENABLE_MULTI_TENANT=true), żądania HTTP bez nagłówków x-n8n-url lub x-n8n-key domyślnie używały poświadczeń operatora, co pozwalało uwierzytelnionemu tenantowi MCP na wykonywanie wywołań zarządzania n8n na instancji operatora zamiast własnej.

W bibliotece asn1c w wersji 1.4 i wcześniejszych odkryto podatność bezpieczeństwa pamięci w generowanym kodzie dekodującym OER dla typu INTEGER. Podczas przetwarzania złośliwie spreparowanego, zerowej długości ładunku OER dla zmiennej długości, nieujemnego typu INTEGER, dekoder nie sprawdza wymaganych bajtów przed wyodrębnieniem najbardziej znaczącego bitu, co prowadzi do odczytu poza dozwolonym obszarem sterty (Heap Out-of-Bounds Read).

W AVideo 29.0 i wcześniejszych wersjach występuje klasyczna podatność na wstrzykiwanie metaznaków powłoki. W gałęzi powiadomień YPTSocket w pliku plugin/Live/on_publish.php polecenie execAsync() jest budowane przez konkatenację ciągów, z każdym argumentem w pojedynczym cudzysłowie, ale bez wywołania escapeshellarg(). Znak ' w dowolnej z trzech interpolowanych wartości ($users_id, $m3u8, $obj->liveTransmitionHistory_id) zamyka cytowany token i pozwala atakującemu dołączyć dowolne polecenia.

Roslyn CodeLens MCP Server w wersjach od 0.0.9 do 1.17.0 zawiera podatność polegającą na ładowaniu i wykonywaniu wszystkich zestawów DiagnosticAnalyzer wskazanych przez rozwiązanie bez żadnej listy dozwolonych, weryfikacji podpisu ani potwierdzenia użytkownika. Atakujący może umieścić złośliwy plik .csproj odwołujący się do kontrolowanej przez siebie biblioteki DLL w lokalizacji otwieranej przez ofiarę, co prowadzi do zdalnego wykonania kodu z uprawnieniami serwera.

Aplikacje Home Assistant Companion na iOS i Android udostępniają mostek JavaScript do WebView, który jest podatny na ataki z ifram pochodzących z innych domen. Luka umożliwia wykonanie dowolnego kodu JavaScript w kontekście głównej ramki frontendu Home Assistant oraz kradzież tokena dostępu zalogowanego użytkownika.

W FreePBX przed wersjami 16.0.22 i 17.0.5, moduł Dashboard w handlerze AJAX getcontent dołącza pliki PHP na podstawie danych wejściowych użytkownika bez sanityzacji ścieżki. Parametr $_REQUEST['rawname'] jest konkatenowany w wywołaniu include() z sufiksem .class.php, co umożliwia trawersację ścieżki za pomocą sekwencji ../ w celu dołączenia dowolnych plików .class.php z systemu plików. Kod PHP dołączonego pliku wykonuje się przed wystąpieniem błędu instancjonowania klasy.

Moduł CDR Reports w FreePBX przed wersjami 16.0.50 i 17.0.11 zawiera podatność na wstrzykiwanie SQL przez parametry POST 'order' i 'sort'. Atak wymaga uwierzytelnienia na koncie z dostępem do sekcji CDR, ale nie wymaga pełnych uprawnień administratora.

W FreePBX przed wersją 17.0.8, implementacja OAuth2 w module API nie weryfikuje poprawnie poświadczeń klienta podczas wydawania tokenów. Metoda validateClient() w pliku ClientRepository.php zawsze zwraca true, co pozwala osobie znającej ważny client_id na uzyskanie tokenów OAuth2 bez podawania poprawnego client_secret.

Podatność w oprogramowaniu DreamMaker firmy Interinfo umożliwia nieuwierzytelnionym lokalnym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie trawersowania ścieżek względnych.

DreamMaker firmy Interinfo zawiera podatność umożliwiającą dowolne przesyłanie plików, co pozwala uprzywilejowanym zdalnym atakującym na wgranie i wykonanie backdoora typu web shell, prowadząc do wykonania dowolnego kodu na serwerze.

Nieobsłużony wyjątek w Suprema BioStar 2 (Server) w wersjach 2.9.8, 2.9.10 i 2.9.11 pozwala nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataku typu DoS poprzez wysłanie żądań HTTP POST do punktu końcowego '/api/migration'. Powoduje to zatrzymanie krytycznych procesów i wyłączenie systemu do czasu ręcznego restartu usług lub serwera.

HAX CMS w wersjach do 26.0.0 zawiera podatność na trwałe XSS w endpointcie `/system/api/saveNode`. Uwierzytelniony użytkownik z uprawnieniami do edycji stron może ominąć filtr HTML, wstrzykując atrybut zdarzenia bez spacji przed nazwą atrybutu.

W komponencie Projektów w Mautic 7 wykryto podatność na trwały atak XSS. Nazwy projektów dostarczane przez użytkownika są wyświetlane bez odpowiedniego oczyszczania w widokach administracyjnych, co umożliwia wstrzyknięcie złośliwego skryptu.

Podatność w API v2 Mautic 7 (API Platform) pozwala na ominięcie kontroli dostępu opartej na właścicielu. Role z ograniczeniami do własnych zasobów (np. `viewown`, `editown`) nie są prawidłowo egzekwowane, co umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach dostęp do zasobów innych użytkowników.

W produkcie Waterfall WF-500 RX Host w wersji 7.9.1.0 R2502171040 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego (CWE-78). Atakujący mający dostęp do TX Host mogą wykonać kod na RX Host po skonfigurowaniu łącznika MySQL.

Podatność CWE-23 (Relative Path Traversal, Zip Slip) w Waterfall WF-500 RX Host w wersji 7.9.1.0 R2502171040 umożliwia atakującym z dostępem do TX Host wykonanie kodu na RX Host, gdy skonfigurowany jest łącznik MySQL i włączona kompresja plików.

Podatność CWE-78 (wstrzykiwanie poleceń systemu operacyjnego) w interfejsie administracyjnym WebUI urządzenia Waterfall WF-500 RX Host w wersji 7.9.1.0 R2502171040. Zdalny, uwierzytelniony atakujący może wykonać dowolne polecenia systemowe na hoście.

W produkcie Waterfall WF-500 RX Host w wersji 7.10.0.0 R2601141040 wykryto podatność CWE-125 (odczyt poza zakresem). Umożliwia ona atakującemu mającemu dostęp do TX Host wykonanie kodu na RX Host.