Katalog podatności CVE

W wersjach przed 0.9.1 pam_usb, używający sprzętowej autoryzacji w systemie Linux, pomijał sprawdzenie PAM_RHOST, gdy usługa PAM była skonfigurowana z deny_remote=false. To pozwalało na autoryzację zdalnych połączeń XDMCP, co powinno być odrzucane.

W wersjach przed 0.9.0, funkcja pusb_pad_compare() w pam_usb nie wymuszała obecności i czytelności pliku pad na urządzeniu USB, co pozwalało użytkownikom na autoryzację bez fizycznego urządzenia. Użytkownik mógł usunąć swój plik ~/.pamusb/device.pad, co skutkowało pomyślną autoryzacją bez wymaganego urządzenia USB.

RELATE to pakiet kursów internetowych, który przed poprawką d66ba5659b459bf1ba56b7109b5f9ecf197cbefb konfigurował swoje pracowniki Celery do akceptowania i deserializacji nieufnych danych 'pickle'. Atakujący, który ma dostęp do brokera wiadomości, może wykonać dowolne polecenia na serwerze hosta.

Himmelblau to zestaw interoperacyjny dla Microsoft Azure Entra ID i Intune. W wersjach od 2.0.0 do przed 3.1.5 oraz 2.3.11 występowała podatność na obejście uwierzytelniania w przepływie Device Authorization Grant (DAG), która pozwalała użytkownikowi w tej samej domenie Entra ID uzyskać lokalną sesję Unix jako inny użytkownik, używając własnych ważnych poświadczeń.

MapServer, system do tworzenia aplikacji GIS w sieci, ma podatność, która występuje w wersjach od 6.4.0 do przed 8.6.3. Problem polega na tym, że msSLDParseUserStyle zawsze wywołuje _SLDApplyRuleValues, co prowadzi do dereferencji wskaźnika NULL w przypadku reguły bez symbolizera.

Pi.Alert, system wykrywający intruzów w sieciach WiFi/LAN, zawiera podatność na wstrzykiwanie SQL w endpointcie /pialert/php/server/devices.php. Niezautoryzowani użytkownicy mogą wykorzystać parametr scansource w żądaniu z action= getDevicesTotals do wykonania dowolnych zapytań SQL. Luka została załatana w wersji z 2026-05-07.

Biblioteka systeminformation dla Node.js w wersjach od 4.17.0 do 5.31.5 zawiera podatność na wstrzyknięcie poleceń w funkcji networkInterfaces() na systemie Linux. Problem występuje, gdy aktywna nazwa profilu połączenia Network Managera zawiera znaki specjalne powłoki, które nie są odpowiednio sanityzowane przed użyciem w poleceniach powłoki.

RELATE to pakiet kursów internetowych, który w wersjach przed commit 555f0efb1c5bd7531c07cd73724d7e566a81f620 ma podatność na przechowywane ataki typu cross-site scripting. Umożliwia to każdemu zapisanym studentowi wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora, co może prowadzić do przejęcia pełnego konta administratora.

GitLab naprawił problem w GitLab EE, który dotyczy wszystkich wersji od 18.8 przed 18.10.7, 18.11 przed 18.11.4 oraz 19.0 przed 19.0.1. W określonych warunkach, uwierzytelniony użytkownik mógł spowodować uruchomienie określonych procesów Duo AI pod tożsamością innego użytkownika z powodu niewłaściwego rozpoznawania tożsamości użytkownika.

Kysely to typowo bezpieczny budowniczy zapytań SQL w TypeScript. W wersjach od 0.26.0 do 0.28.16, metoda DefaultQueryCompiler.visitJSONPathLeg nie ucieka metaznaków JSON-path, co pozwala atakującemu na nieautoryzowany dostęp do pól JSON, które nie miały być ujawnione.

W routerach Archer BE450 v1 i BE7200 v1 występuje podatność na wstrzykiwanie poleceń, która pozwala uwierzytelnionemu administratorowi na wykonywanie dowolnych poleceń systemowych przez interfejs zarządzania w sieci. Po pomyślnym uwierzytelnieniu, atakujący może wykorzystać konsolę dewelopera przeglądarki, aby wprowadzić odpowiednio przygotowane dane, które są przekazywane do poleceń systemowych bez odpowiedniej sanitizacji.

Budibase to platforma open-source do niskokodowego tworzenia aplikacji. W wersjach przed 3.39.0, funkcja fetchToken w SDK OAuth2 wykonuje POST do URL dostarczonego przez twórcę, pomijając sprawdzenie blacklist.isBlacklisted, co może prowadzić do nieautoryzowanego dostępu.

Budibase to otwartoźródłowa platforma low-code, która przed wersją 3.39.0 miała luki w zabezpieczeniach związane z dostępem do tras GET i PUT dla pojedynczego źródła danych. Użytkownicy z rolą Basic mogli uzyskać dostęp do poufnych informacji, takich jak sekrety autoryzacji, poprzez manipulację danymi konfiguracyjnymi.

Budibase to otwartoźródłowa platforma low-code. Przed wersją 3.39.0, punkt końcowy budowania schematu webhooka nie wymagał autoryzacji, co pozwalało nieautoryzowanym użytkownikom na aktualizację schematu ciała dla znanego webhooka.

Budibase to otwartoźródłowa platforma low-code. W wersjach przed 3.39.0 komponent tekstowy Budibase renderuje markdown, przypisując marked.parse(markdown) bez użycia sanitizera, co prowadzi do podatności na XSS.

Budibase to platforma open-source low-code. W wersjach przed 3.39.0 funkcja pobierania tokena OAuth2 nie ma ochrony przed SSRF, co pozwala użytkownikom z rolą BUILDER na wskazywanie wewnętrznych usług w celu wykradania wrażliwych danych.

Budibase to otwartoźródłowa platforma low-code, która przed wersją 3.38.3 nie maskowała poprawnie wrażliwych danych w integracji z Snowflake. Użytkownik z autoryzacją BASIC mógł uzyskać pełny klucz PEM w formacie tekstowym.

Budibase to otwartoźródłowa platforma low-code. W wersjach przed 3.38.2, punkt końcowy przesyłania plików POST /api/attachments/process nie egzekwuje ograniczeń dotyczących aktywnej zawartości dla uwierzytelnionych użytkowników, co pozwala na przesyłanie niebezpiecznych plików przez uwierzytelnionych budowniczych.

Budibase przed wersją 3.38.1 ma lukę w REST API, która pozwala uwierzytelnionym użytkownikom aplikacji na modyfikację konfiguracji źródła danych. Użytkownicy z rolą BASIC lub wyższą mogą wysyłać żądania PUT do zmiany ustawień, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.

Budibase to platforma open-source low-code, która przed wersją 3.38.1 miała lukę w zabezpieczeniach w punkcie końcowym POST /api/global/users/onboard. Umożliwia to użytkownikom z uprawnieniami budowniczego dostęp do tworzenia nowych kont globalnych administratorów, co prowadzi do eskalacji uprawnień.