Katalog podatności CVE

Podatność w Symfony UX pozwala uwierzytelnionemu klientowi na wysłanie pojedynczego żądania _batch z tysiącami akcji, co prowadzi do wyczerpania zasobów serwera (CPU, pamięć, połączenia z bazą danych) poprzez nieograniczoną iterację nad tablicą akcji.

Podatność w Symfony UX pozwala atakującemu na manipulację datami poprzez przesłanie względnych ciągów znaków (np. now, tomorrow, +10 years) do właściwości LiveProp typu DateTimeInterface bez skonfigurowanego formatu. Powoduje to ominięcie kontroli logiki biznesowej opartej na czasie.

W bibliotece pyzipper przed wersją 0.4.0 wykryto błąd pierwszeństwa operatorów w Pythonie, który powodował, że szyfrowanie nigdy nie wybierało formatu AE-2, a zamiast tego zawsze używało formatu AE-1. W efekcie suma kontrolna CRC32 niezaszyfrowanego tekstu była zapisywana w nagłówku ZIP, a w przypadku archiwów nieprzeszukiwanych również w sekcji datadescripter, co umożliwia atakującemu odgadnięcie zawartości małych plików poprzez porównanie wartości CRC32.

Podatność CVE-2026-21761 w HCL DevOps Loop wynika z nieprawidłowej konfiguracji mechanizmu CORS. Błąd ten może umożliwić nieautoryzowane żądania między domenami, potencjalnie ujawniając zasoby aplikacji niezaufanym domenom.

HCL DevOps Loop zawiera podatność na nieautoryzowany dostęp do funkcji administracyjnych poprzez wymuszone przeglądanie. Niewłaściwe sprawdzanie autoryzacji może umożliwić nieuprawnionym użytkownikom dostęp do chronionych punktów końcowych aplikacji.

W Keycloak znaleziono błąd w endpoint REST default-groups oraz reprezentacji realm. Delegowany administrator z uprawnieniami do przeglądania realm może zobaczyć nazwy i identyfikatory ukrytych domyślnych grup, nawet jeśli nie ma do nich bezpośrednich uprawnień.

W REST API administracyjnym Keycloak wykryto brak autoryzacji podczas usuwania roli podrzędnej z roli złożonej. Delegowany administrator może usunąć uprzywilejowane role, do których nie ma uprawnień, co prowadzi do utraty dostępu dla innych użytkowników i administratorów.

W komponencie keycloak-services, będącym rdzeniem Red Hat Build of Keycloak, wykryto podatność polegającą na braku maskowania poufnych wartości konfiguracyjnych, takich jak tajne klucze reCAPTCHA, podczas ich wyświetlania administratorom z uprawnieniami tylko do odczytu. Może to prowadzić do ujawnienia poświadczeń usług zewnętrznych nieupoważnionym osobom lub w logach administracyjnych.

W Keycloak stwierdzono niekompletną poprawkę dla CVE-2026-9798. Ochrona przed atakami brute-force została dodana do procedury inicjacji CIBA, ale pominięto ją w procedurze wymiany tokenów. Pozwala to atakującemu z ważnymi danymi uwierzytelniającymi klienta uzyskać tokeny dostępu i odświeżania dla zablokowanego konta użytkownika, jeśli żądanie uwierzytelnienia zostało rozpoczęte przed blokadą i zatwierdzone przez użytkownika.

W Keycloak wykryto lukę w mechanizmie Client Policies, która umożliwia ominięcie wymogu uwierzytelniania za pomocą podpisanych asercji JWT. Atakujący posiadający prawidłowe dane logowania klienta może dostarczyć fałszywy, niepodpisany nagłówek asercji, oszukując system, że wymagania polityki zostały spełnione.

Podatność w systemie GisLab Laboratory Management System umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz. Luka pozwala na wykorzystanie zaufanych identyfikatorów, co może prowadzić do nieautoryzowanego dostępu.

Podatność w bibliotece Mojo::JWT dla Perla przed wersją 1.02 polega na tym, że weryfikacja podpisu HMAC odbywa się za pomocą porównania łańcuchów, które nie jest stałe czasowo. Funkcja decode() używa operatora eq Perla, który porównuje bajty do pierwszego różniącego się, co powoduje zmienny czas odpowiedzi w zależności od liczby pasujących początkowych bajtów.

Podatność w Maybe do wersji 0.6.0 pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami (rola członka) na dostęp i modyfikację globalnych ustawień hostingu. Brak autoryzacji w kontrolerze Settings::HostingsController umożliwia odczyt klucza API operatora (Synth) wyświetlanego w formularzu, nadpisanie go własnym kluczem, zmianę ustawień rejestracji publicznej oraz wyłączenie wymogu potwierdzenia e-mail.

Podatność w TheHive do wersji 4.1.24 umożliwia uwierzytelnionym użytkownikom dostęp do załączników innych organizacji poprzez podanie identyfikatora skrótu treści. Brak kontroli autoryzacji na poziomie organizacji w metodzie AttachmentSrv.visible pozwala na ominięcie zabezpieczeń.

Podatność w TheHive do wersji 4.1.24 umożliwia nieuwierzytelnionym atakującym odczyt wrażliwych danych konfiguracyjnych poprzez wysłanie żądania GET do endpointu /api/status. Brak wymaganego uwierzytelnienia w handlerze StatusCtrl.scala pozwala na ujawnienie m.in. hasła ochrony załączników magazynu danych, skonfigurowanych dostawców uwierzytelniania, ustawień SSO, możliwości MFA oraz adresów i ról węzłów klastra.

Dendrite do wersji 0.13.8 zawiera podatność nieprawidłowej kontroli dostępu w endpointcie /context syncapi. Luka pozwala uwierzytelnionym użytkownikom lokalnym na dostęp do zdarzeń stanu pokoju po opuszczeniu go, wykorzystując błędne sprawdzanie członkostwa.

Dendrite do wersji 0.13.8 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala nieuwierzytelnionym atakującym na otwieranie przez serwer wychodzących połączeń TLS do dowolnych hostów i portów poprzez podanie niezweryfikowanego parametru serverName w legacy endpointcie pobierania multimediów. Atakujący mogą wykorzystać rozróżnialne klasy odpowiedzi błędów oraz wyciekające wewnętrzne adresy IP w komunikatach błędów do przeprowadzania ślepego skanowania portów i mapowania wewnętrznej topologii sieci.

Dendrite do wersji 0.13.8 zawiera podatność nieprawidłowej autoryzacji w interfejsie API klient-serwer Matrix, która pozwala każdemu uwierzytelnionemu użytkownikowi lokalnemu na usunięcie powiązań identyfikatorów stron trzecich należących do innych użytkowników. Atakujący może wykorzystać niezweryfikowany handler Forget3PID, aby usunąć powiązanie e-mail lub MSISDN ofiary, a następnie ponownie powiązać adres za pomocą serwera tożsamości, przejmując proces resetowania hasła ofiary.

Rozszerzenie Joomla Events Booking w wersjach przed 5.8.0 jest podatne na enumerację użytkowników bez uwierzytelnienia. Atakujący może pobrać nazwy użytkowników i adresy e-mail kont.

W GitHub Enterprise Server wykryto brak autoryzacji, który pozwalał uwierzytelnionemu użytkownikowi z prawem zapisu do dowolnego repozytorium na odczyt metadanych z prywatnych repozytoriów, do których nie miał dostępu. Luka umożliwiała enumerację identyfikatorów reguł i ujawnienie nazw repozytoriów, gałęzi, identyfikatorów commitów, ich komunikatów oraz autora pusha.