Katalog podatności CVE

Podatność w Agent Development Kit (ADK) umożliwia fałszowanie potwierdzeń narzędzi. Atakujący, który może manipulować zdarzeniami w historii sesji, może wykonać nieautoryzowane narzędzia poprzez sfałszowanie odpowiedzi potwierdzenia. Framework nie weryfikował, czy narzędzie jest zarejestrowane dla agenta, czy wymaga potwierdzenia, ani czy argumenty zgadzają się z oryginalnym wywołaniem.

W Coverity Connect w wersjach od 2023.6.0 do 2026.3.0 występuje podatność w Spring Security umożliwiająca ominięcie uwierzytelniania i autoryzacji. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie HTTP, aby uzyskać dostęp do danych w Coverity.

Logging operator przed wersją 6.6.0 zawiera podatność na wstrzyknięcie poleceń w rendererze Fluentd. Użytkownik mogący tworzyć zasoby Flow może wstrzyknąć blok <match **> z @type exec, co pozwala na wykonanie dowolnych poleceń w agregatorze Fluentd.

Xlight FTP Server przed wersją 3.9.5 zawiera podatność przepełnienia bufora sterty przed uwierzytelnieniem. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowany identyfikator klienta SSH, aby zapisać dane poza buforem sterty. Błąd logiczny w pętli odbioru umożliwia eksploatację przed uwierzytelnieniem.

AMMOS Instrument Toolkit (AIT) Deep Space Network (DSN) Interface przed wersją 2.2.2 ma brak uwierzytelniania w menedżerze interfejsu Space Link Extension (SLE). Nieuwierzytelniony atakujący sieciowy może uzyskać dostęp do siedmiu niezabezpieczonych tras API, aby zarządzać sesjami komunikacyjnymi, pobierać dane telemetryczne i wstrzykiwać ramki do aktywnych łączy.

AMMOS Instrument Toolkit (AIT) GUI przed wersją 2.5.1 ma brak uwierzytelniania, co pozwala nieuwierzytelnionemu atakującemu sieciowemu uzyskać ważną sesję i wydawać dowolne polecenia statku kosmicznego poprzez wywołanie Sessions.create() bez sprawdzania poświadczeń.

Prebid Server przed wersją 4.4.0 zawiera podatność w adapterach licytantów, które interpolują parametry dostarczone przez użytkownika do adresów URL żądań wychodzących bez odpowiedniej walidacji hosta i subdomen. Może to prowadzić do wysyłania żądań do nieprzeznaczonych miejsc.

Rozszerzenie Joomla Gridbox przed wersją 2.20.2 zawiera podatność umożliwiającą przejęcie konta. Metoda socialLogin pozwala atakującemu zalogować się jako dowolny użytkownik na docelowej stronie.

Rozszerzenie Joomla Gridbox w wersji poniżej 2.20.2 zawiera lukę umożliwiającą nieuwierzytelnionemu atakującemu zresetowanie dowolnego hasła użytkownika (z wyjątkiem super administratorów). Pozwala to na zalogowanie się i działanie w imieniu tych użytkowników.

W Axway SecureTransport w wersji 5.5-20260326 i wcześniejszych wykryto podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w funkcji szablonów wiadomości e-mail. Atakujący z uprawnieniami administratora może wstrzyknąć kod Java, który jest wykonywany podczas renderowania szablonu, co prowadzi do pełnego przejęcia hosta.

Rozszerzenie Joomla Gridbox w wersji poniżej 2.20.2 zawiera wiele wektorów wstrzykiwania SQL, które pozwalają nieuwierzytelnionemu atakującemu na wstrzykiwanie zapytań SQL.

Rozszerzenie Joomla Gridbox w wersji poniżej 2.20.2 zawiera lukę eskalacji uprawnień. Metoda rejestracji pozwala użytkownikom na podanie identyfikatora grupy, co umożliwia nieuwierzytelnionemu atakującemu rejestrację konta z uprawnieniami administracyjnymi.

Występuje podatność CWE-754 (niewłaściwe sprawdzanie nietypowych lub wyjątkowych warunków) w komunikacji za pomocą protokołu Modbus TCP, która może prowadzić do zdalnego wykonania kodu, odmowy usługi oraz utraty poufności i integralności.

Rozszerzenie Joomla Aimy Captcha-Less Form Guard w wersjach 18.0-20.0 zawiera podatność na wstrzykiwanie obiektów PHP (PHP object injection) poprzez sfałszowane pole clfgd, co umożliwia zdalne wykonanie kodu (RCE).

Wtyczka Cost Calculator Builder PRO dla WordPress do wersji 4.0.3 włącznie jest podatna na zdalne wykonanie kodu (RCE) poprzez funkcję js_to_php. Pole orderDetails[*].originalValue jest wstrzykiwane bezpośrednio do formuły kalkulatora przekazywanej do eval(), a walidacja regex przepuszcza znaki interpunkcyjne. Nieuwierzytelniony atakujący może uzyskać nonce z front-endu i wykonać kod na serwerze.

Wtyczka Meta Box AIO dla WordPress do wersji 3.8.0 włącznie (z rozszerzeniem MB Frontend Submission) ma brak autoryzacji w dispatcherze template_redirect. Funkcja handle_request() kieruje akcję mbfs_delete bez sprawdzania uprawnień, a weryfikacja nonce jest pomijana, ponieważ is_ajax() zwraca false dla żądań template_redirect. Nieuwierzytelniony atakujący może usuwać dowolne posty i strony, podając ID posta w parametrze rwmb_frontend_field_object_id.

W FAB auth manager domyślnie ustawiono `verify_signature=False` podczas dekodowania tokena ID w logowaniu Azure AD OAuth. Atakujący może przedstawić sfałszowany token (np. z algorytmem 'none') i zalogować się jako dowolny użytkownik, w tym administrator.

Wtyczka certifier w Apache Traffic Server generuje certyfikaty na podstawie SNI kontrolowanego przez atakującego. Problem dotyczy wersji od 8.0.0 do 8.1.9, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.

Wtyczka Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light dla WordPress do wersji 2.4.37 włącznie ma brak autoryzacji w funkcji user_filter, co umożliwia nieuwierzytelnionym atakującym tworzenie kont administratora.

Apache Traffic Server obcina zbyt długie nazwy nagłówków, co umożliwia aliasowanie nagłówków, przemycanie żądań (request smuggling) i ominięcie polityk. Problem dotyczy wersji od 8.0.0 do 8.1.9, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.