Katalog podatności CVE

NVIDIA Transformers4Rec zawiera podatność umożliwiającą nieprawidłową deserializację niezaufanych danych. Udane wykorzystanie może prowadzić do wykonania kodu, manipulacji danymi i ujawnienia informacji.

Podatność w Eclipse hawkBit (wersje 1.0.3 i wcześniejsze) w komponencie Direct Device Integration (DDI) Controller. Umożliwia uwierzytelnionemu urządzeniu eskalację uprawnień i pobranie dowolnego artefaktu oprogramowania w ramach tego samego dzierżawcy (tenant), z pominięciem ograniczeń przypisania. Dodatkowo, endpoint listy modułów oprogramowania nie wymusza sprawdzenia przypisania, umożliwiając enumerację dostępnych artefaktów.

Podatność nieograniczonego przesyłania plików w ZS-Admin do wersji b52e145. Nieznana funkcja w pliku /api/system/file/upload w komponencie SysFileController nie ogranicza typu przesyłanego pliku, co umożliwia zdalne przesłanie dowolnego pliku. Exploit jest publiczny.

Podczas weryfikacji MAC za pomocą obiektu ChunkedMacVerification w bibliotece Tink, porównanie tagów nie jest wykonywane w stałym czasie. Potencjalnie umożliwia to atakującemu wykorzystanie informacji o czasie jako kanału bocznego do określenia, ile bajtów danego tagu jest zgodnych z poprawnym tagiem, co może pozwolić na znalezienie poprawnego tagu bajt po bajcie.

Podatność w Plane polegająca na wadzie autoryzacji w API zarządzania zasobami. Uwierzytelnieni użytkownicy mogą uzyskać dostęp, usunąć lub skopiować zasoby (assets) należące do innego workspace, podając tylko slug i ID zasobu ofiary. Brak weryfikacji członkostwa w docelowym workspace umożliwia cross-tenantową ekspozycję danych, ich usunięcie oraz trwałe wyeksfiltrowanie plików do workspace atakującego.

Podatność w backendzie Apple Find My pozwala atakującemu posiadającemu ważny PET (Private Endpoint Token) na wyliczanie urządzeń i usuwanie urządzeń offline z konta Apple ID bez uwierzytelniania dwuskładnikowego lub weryfikacji własności. Może to prowadzić do nieautoryzowanego usunięcia urządzeń.

Home Assistant Core przed wersją 2026.5.4 zawiera podatność na cross-site scripting (XSS) w metodzie `async_get_media_image()` integracji Shelly. Atakujący kontrolujący pole `thumb` urządzenia Shelly może dostarczyć dowolną treść HTML, używając data URI z typem `text/html`, bez walidacji względem dozwolonych tylko obrazów. Pozwala to na kradzież tokenów sesji i wykonywanie uwierzytelnionych wywołań do wrażliwych punktów końcowych, takich jak blokady, alarmy i osłony.

Podatność w PraisonAI (wersje przed 4.6.40) pozwala na automatyczne pobieranie treści z adresów URL podanych w promptach CLI. Atakujący może wstrzyknąć złośliwy URL, co skutkuje pobraniem zasobów z localhostu i wstrzyknięciem ich do kontekstu modelu, bez żadnych ograniczeń adresów prywatnych.

W PraisonAI przed wersją 4.6.40 (oraz praisonaiagents przed 1.6.40) walidacja URL w narzędziu `spider_tools` może zostać ominięta przez użycie alternatywnych kodowań hosta loopback. Walidacja blokuje tylko konkretne ciągi (np. 'localhost', '127.0.0.1'), ale nie normalizuje nazw hostów ani nie sprawdza końcowego adresu IP. Pozwala to na SSRF do usług loopback.

Podatność typu stored cross-site scripting (XSS) w SolarWinds Serv-U. Może prowadzić do przejęcia sesji lub ujawnienia informacji z konta administratora.

Podatność w zsadmin2025 ZS-Admin do wersji b52e14536d59fda11e56e2536a1c32e82a38cead. Funkcja getTenantId w pliku /api/system/sys/dept/page komponentu MyBatis-Plus Tenant Plugin pozwala na ominięcie autoryzacji poprzez manipulację argumentem X-Tenant-Id. Atak zdalny, exploit publicznie dostępny.

W ZS-Admin do wersji b52e14536d59fda11e56e2536a1c32e82a38cead, funkcja OrderItem.asc/OrderItem.desc w pliku /api/system/sys/dept/page w komponencie com.zs.sys.dept.controller.SysDeptController jest podatna na wstrzykiwanie SQL poprzez manipulację argumentem orderField. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.

Podatność we wtyczce Ninja Forms do WordPress w wersji 3.14.8 pozwala nieuwierzytelnionym atakującym na ominięcie walidacji formularza poprzez scalenie kontrolowanych przez atakującego metadanych pól przed walidacją. Atakujący może wysłać złośliwe żądanie AJAX, zmieniając typy pól, usuwając wymagane flagi i wyłączając CAPTCHA.

Podatność w wtyczce Ninja Forms do WordPressa w wersji 3.14.8 i wcześniejszych. Brak autoryzacji w bloku Gutenberg 'ninja-forms/submissions-table' pozwala uwierzytelnionym atakującym z rolą Autora na ujawnienie przesłanych formularzy (w tym danych osobowych) nieuwierzytelnionym odwiedzającym.

W bibliotece libssh, jeśli pakiety danych są przetwarzane po zamknięciu kanału, wywołania zwrotne danych kanału mogą być wywoływane po zwolnieniu powiązanych danych, co prowadzi do awarii lub potencjalnych warunków use-after-free.

Sparkle, framework do aktualizacji oprogramowania dla macOS, w wersjach do 2.9.1 włącznie, zawiera podatność w mechanizmie uwierzytelniania połączeń Mach. Po zakończeniu etapu 1 instalacji, nowe połączenia do usługi Mach są akceptowane z dowolnego lokalnego procesu bez weryfikacji kodu lub identyfikatora zespołu, co może pozwolić na nieautoryzowane aktualizacje.

W wielu modelach urządzeń D-Link (m.in. DNS-120, DNR-202L, DNS-315L, DNS-320, DNS-320L, DNS-320LW, DNS-321, DNR-322L, DNS-323, DNS-325, DNS-326, DNS-327L, DNR-326, DNS-340L, DNS-343, DNS-345, DNS-726-4, DNS-1100-4, DNS-1200-05, DNS-1550-04) do wersji 20260205 stwierdzono podatność na wstrzyknięcie komend w funkcji cgi_check_rsync_rw pliku /cgi-bin/remote_backup.cgi. Manipulacja argumentem ip umożliwia zdalne wykonanie komend. Exploit jest publicznie dostępny.

Podatność w zenml-io/zenml w wersji 0.94.2. Endpoint `GET /api/v1/stack-deployment/stack` nie sprawdza poprawnie RBAC, umożliwiając każdemu uwierzytelnionemu użytkownikowi wyliczenie wszystkich wdrożonych stacków (w tym szczegółów komponentów, informacji o łącznikach usług i ID właścicieli) we wszystkich tenantach.

Podatność w snapd umożliwia ominięcie kontroli dostępu i ujawnienie informacji. Ściśle ograniczone aplikacje snap mogą odpytywać systemd-userdbd przez gniazda UNIX, uzyskując hashe haseł z /etc/shadow.

Podatność odczytu poza zakresem (buffer over-read) w funkcji QTextCodec::codecForName() w Qt. Gdy funkcja jest wywoływana z QByteArray niezakończonym znakiem NUL, procedura dopasowywania nazwy kodowania odczytuje dane poza dostarczonym buforem. W większości przypadków prowadzi to do wybrania nieprawidłowego kodowania; w najgorszym przypadku, jeśli odczyt trafi na niezmapowaną pamięć, proces ulega awarii (odmowa usługi). Luka dotyczy modułu Qt5Compat od Qt 6.0.0 oraz Qt Core w Qt 4.x i 5.x.