Katalog podatności CVE

W Eleveo Call Recording Software 9.7.0 wykryto podatność w nieznanej funkcji pliku /callrec/audio.jsp w komponencie Play Audio Page. Manipulacja argumentami viewRoleId/cfType prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

W Webkul Bagisto do wersji 2.4.6/2.5.0-beta4 wykryto podatność w funkcji masowej aktualizacji statusu faktur w pliku /admin/sales/invoices/mass-update/state. Manipulacja prowadzi do braku autoryzacji, a atak może być przeprowadzony zdalnie. Exploit jest publiczny, a problem został naprawiony w wersji 2.5.0-beta5.

W DeepSeek deepseek-harness do wersji 0.1.7-rc.2 wykryto podatność w funkcji loadProfile pliku packages/boot/app-boot/src/profile.ts w komponencie Bundle Patch Handler. Manipulacja argumentem dsh.bundle.patch prowadzi do path traversal, a atak można przeprowadzić zdalnie, choć wymaga wysokiej złożoności. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział.

W deepseek-ai deepseek-harness do wersji 0.1.5-rc.3 zidentyfikowano podatność w nieznanej funkcji pliku packages/e2b/e2b/src/index.ts w komponencie dsh. Manipulacja argumentem E2B_API_KEY prowadzi do polegania na niezaufanych danych wejściowych w decyzji bezpieczeństwa, a atak wymaga dostępu lokalnego. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział.

Funkcja strncasecmp w bibliotece GNU C Library w wersji 2.24 i późniejszych, zoptymalizowana dla architektury Power8, może odczytać jeden bajt poza limit rozmiaru wejściowego, co może spowodować awarię programu, gdy ten bajt nie jest czytelny. Sytuacja występuje, gdy ciągi wejściowe są kontrolowane przez atakującego i pasują aż do granicy strony, a sąsiednia strona nie jest zmapowana lub nie jest czytelna.

Podatność w agentverus-scanner do wersji 0.8.1 dotyczy funkcji isSecurityDefenseSkill w pliku dist/scanner/analyzers/context.js. Manipulacja prowadzi do opierania decyzji bezpieczeństwa na niezaufanych danych wejściowych, a atak musi być zainicjowany lokalnie. Exploit został publicznie ujawniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie problemu.

Wada w listenerze metryk zdarzeń użytkownika Micrometer w Keycloak występuje, gdy listener jest skonfigurowany do uwzględniania tagu idp. Nieuwierzytelniony atakujący może wysyłać żądania do endpointu logowania brokera tożsamości z dowolnymi aliasami dostawców, powodując tworzenie nieograniczonej liczby szeregów czasowych metryk, co prowadzi do nadmiernego zużycia pamięci i degradacji wydajności serwera oraz narzędzi monitorujących.

W projekcie mini-inventory-and-sales-management-system wykryto podatność na cross-site scripting (XSS) w pliku application/controllers/Items.php. Manipulacja argumentem itemName umożliwia zdalny atak. Exploit jest publicznie dostępny.

Złośliwy użytkownik może uzyskać dostęp do odczytu plików w kontekście flatpak-system-helper, jeśli skonfigurowane jest systemowe repozytorium OCI, ponieważ ścieżki kodu OCI w systemowym helperze podążają za dowiązaniami symbolicznymi podczas importowania obrazów OCI, które są pod kontrolą użytkownika.

Wywołanie org.freedesktop.Flatpak.SystemHelper.CancelPull na pobieraniu innego użytkownika nie powoduje faktycznego anulowania, ale usuwa je z wewnętrznego śledzenia, co uniemożliwia właścicielowi zatrzymanie go. Trwające pobierania nie mogą być zatrzymane.

Złośliwe rozszerzenie Flatpak może badać system plików hosta, aby określić, jakie pliki i katalogi istnieją w dowolnych ścieżkach, a listy katalogów hosta mogą być ujawniane aplikacjom w piaskownicy korzystającym z rozszerzenia. Dodatkowo niezweryfikowane metadane rozszerzenia mogą spowodować zamontowanie zawartości rozszerzenia w niezamierzonych lokalizacjach wewnątrz piaskownicy.

Wykryto podatność w Krayin laravel-crm do wersji 2.2.5. Dotyczy nieznanej funkcji w pliku packages/Webkul/Admin/src/Resources/views/components/layouts/index.blade.php komponentu Admin Settings Endpoint. Manipulacja argumentem general.settings.footer.label prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być użyty. Zalecane jest uaktualnienie do wersji 2.2.6.

Wykryto podatność w zhistaredu StarTraining do wersji 3.8.1. Dotyczy nieznanego przetwarzania w pliku application.yml. Manipulacja argumentem xss.enabled prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, ale jest wysoce złożony i trudny do wykorzystania. Exploit został publicznie ujawniony i może być użyty. Nie jest samodzielnie wykorzystywalny: brak obrony w głąb, który wzmacnia CVE-2026-100880. Producent został skontaktowany, ale nie odpowiedział.

Nezha przed wersją 2.2.7 zawiera podatność na ujawnienie informacji w punkcie końcowym GET /api/v1/profile, który zwraca pole hasła zahashowanego bcrypt uwierzytelnionych użytkowników. Atakujący mogą wyodrębnić hashe haseł i przeprowadzić ataki offline bez ograniczeń szybkości ani śladów audytu.

W produkcie zhistaredu StarTraining do wersji 3.8.1 wykryto podatność na cross-site scripting (XSS) w komponencie Upload Endpoint, w pliku MimeTypeUtils.java. Manipulacja argumentem File umożliwia zdalne przeprowadzenie ataku. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

Wtyczka MCP utcp-mcp (część python-utcp) do wersji 1.1.2 łączy się z serwerami MCP HTTP i WebSocket podanymi w konfiguracji mcpServers bez walidacji ensure_secure_url, co pozwala na połączenia z serwerami bez HTTPS/WSS lub z adresami wewnętrznymi. Poprawka w wersji 1.1.3 dodaje walidację adresów URL przed nawiązaniem połączenia.

Cloudreve przed wersją 4.16.1 nieprawidłowo sanityzuje ścieżki plików zwracane przez zdalne downloadery, co pozwala uwierzytelnionym użytkownikom tworzyć pliki poza wybranym katalogiem docelowym. Atakujący mogą wykorzystać sekwencje path traversal w metadanych downloadera do zapisu plików w nieoczekiwanych lokalizacjach.

Fleet przed wersją 4.89.0 zawiera podatność na iniekcję SQL w endpointach listy aktywności (GET /api/v1/fleet/activities i GET /api/v1/fleet/hosts/{id}/activities). Przestarzały helper cursor-pagination interpolował klucz sortowania do klauzuli ORDER BY bez allowlisty, co pozwala uwierzytelnionym użytkownikom z dostępem do odczytu na sortowanie wyników według dowolnych kolumn. Wpływ jest tylko do odczytu i ograniczony do kolumn tabeli activity_past, które nie są normalnie zwracane (np. details).

spaceship-prompt do wersji 4.22.5 nie usuwa znaków kontrolnych z pól wersji manifestu projektu przed wyświetleniem ich w znaku zachęty zsh. Atakujący mogą osadzić sekwencje ucieczki ANSI/OSC w polach wersji manifestów pakietów, aby manipulować wyjściem terminala, zmieniać tytuły okien lub podszywać się pod wyświetlany tekst, gdy ofiary wejdą do katalogu.

onefetch do wersji 2.28.1 zapisuje wartości pól informacyjnych repozytorium do terminala bez usuwania znaków kontrolnych, co umożliwia wstrzyknięcie sekwencji ucieczki terminala. Atakujący mogą osadzić sekwencje ucieczki ANSI/OSC w polach wersji i nazwy manifestu projektu, aby manipulować wyjściem terminala, zmieniać tytuły okien, ukrywać tekst lub wywoływać zachowania specyficzne dla emulatora, gdy ofiary uruchamiają onefetch.