Katalog podatności CVE

MoviePilot v2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym proxy obrazów. Uwierzytelniony atakujący może wysyłać żądania do dowolnych adresów URL, podając ciasteczko resource_token i URL, którego domena pasuje do skonfigurowanej listy dozwolonych domen.

W bibliotece agno w wersji 2.6.5 wykryto podatność na wstrzykiwanie SQL w backendzie bazy danych ClickHouse. Luka występuje w metodzie delete_by_metadata() w pliku clickhousedb.py, która niebezpiecznie interpoluje klucze i wartości metadanych do zapytań SQL. Atakujący może wstrzyknąć dowolne wyrażenia SQL, co umożliwia usunięcie wszystkich wierszy, wybranie konkretnych danych lub ich wyodrębnienie poprzez błędy lub ślepe wstrzykiwanie SQL.

GitHub CLI (gh) przed wersją 2.93.0 nieprawidłowo dołącza nagłówek autoryzacji do żądań API kierowanych do mirrorów repozytorium TUF. Błąd w normalizacji nazw hostów powoduje, że token użytkownika jest wysyłany do zewnętrznych serwerów, takich jak tuf-repo.github.com, co stanowi naruszenie bezpieczeństwa.

W Dokploy w wersji 0.29.0 i wcześniejszych funkcja deleteRegistry wykonuje polecenie docker logout bez odpowiedniego escapowania argumentu registryUrl, co umożliwia wstrzyknięcie poleceń powłoki. W przeciwieństwie do funkcji docker login, która używa shEscape(), brak zabezpieczeń w deleteRegistry stwarza podatność na ataki przez spreparowany adres URL rejestru.

Funkcja przesyłania szablonów w Emlog Pro v2.6.9 zawiera podatność na path traversal, umożliwiającą uwierzytelnionym administratorom wykonanie dowolnego kodu PHP. Poprzez przesłanie złośliwego archiwum ZIP z sekwencjami nawigacji w nazwach plików, atakujący może nadpisać domyślne pliki szablonów lub bezpośrednio dołączyć złośliwe pliki kodu do bieżącego szablonu.

Podatność w OpenClaw przed wersją 2026.5.18 umożliwia ominięcie zakresu w trasie chat.send bramy. Atakujący z zakresem operator.write mogą dostarczać polecenia przez dziedziczone zewnętrzne trasy, aby ominąć wymagania zakresów operator.approvals i operator.admin.

W OpenClaw przed wersją 2026.5.18 wykryto podatność polegającą na pominięciu autoryzacji w natywnych przyciskach zatwierdzania QQBot. Brak wymuszenia tożsamości zatwierdzającego pozwala użytkownikom niebędącym zatwierdzającymi na kliknięcie przycisków i rozwiązywanie oczekujących wniosków o zatwierdzenie wykonania lub wtyczek bez odpowiedniej autoryzacji.

Podatność w OpenClaw przed wersją 2026.5.4 w wbudowanym pluginie device-pair pozwala na ominięcie autoryzacji. Użytkownicy czatu z uprawnieniami do wysyłania wiadomości, którzy nie są właścicielami, mogą generować kody bootstrap do parowania urządzeń bez odpowiedniej walidacji zakresu uprawnień.

W Shibby Tomato 1.28 znaleziono podatność w nieznanej funkcji pliku usr/sbin/miniupnpd, która prowadzi do nadmiernego zużycia zasobów. Atak może być przeprowadzony zdalnie. Produkt ten jest już nie wspierany przez producenta.

W Shibby Tomato 1.28 w komponencie SUBSCRIBE Call Handler funkcja send w pliku usr/sbin/miniupnpd umożliwia atak SSRF (Server-Side Request Forgery). Podatność może być wykorzystana zdalnie. Projekt jest zastąpiony przez FreshTomato i nie jest już wspierany.

W Shibby Tomato 1.28 wykryto podatność w funkcji sub_90F0 pliku multimon.cgi, prowadzącą do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie. Projekt jest zastąpiony przez FreshTomato i nie jest już wspierany.

Wykryto podatność w oprogramowaniu Shibby Tomato do wersji 1.28. Problem dotyczy funkcji sub_9068 w pliku tomatoups.cgi w ramach komponentu UPS Service, co prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a projekt jest już nieaktualny i zastąpiony przez FreshTomato.

W Shibby Tomato 1.28 wykryto podatność w funkcji get_ups_field pliku tomatodata.cgi. Manipulacja argumentem Date może prowadzić do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie.

Podatność SQL Injection w Open ISES Project 3.30A pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez parametr ticket_id w żądaniach GET do skryptu add_facnote.php. Atakujący mogą wyodrębnić wrażliwe dane z bazy, w tym szczegóły wersji.

Projekt Open ISES 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametrze p1. Atakujący mogą wysyłać żądania GET do city_graph.php z spreparowanymi ładunkami SQL w celu wydobycia poufnych informacji z bazy danych, w tym nazw schematów.

Projekt Open ISES 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametrze p1. Atakujący mogą wysyłać żądania GET do pliku inc_types_graph.php z spreparowanymi ładunkami SQL w celu wyodrębnienia wrażliwych informacji z bazy danych, w tym nazw schematów.

Podatność SQL Injection w Open ISES Project 3.30A umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametr p1. Atakujący mogą wysyłać żądania GET do sever_graph.php z spreparowanymi ładunkami SQL w celu wyodrębnienia poufnych informacji z bazy danych, w tym nazw schematów.

Podatność SQL Injection w Open ISES Project 3.30A umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych zapytań SQL poprzez parametr 'id' w żądaniach GET do endpointu ajax/form_post.php. Atakujący mogą wyodrębnić wrażliwe dane z bazy, w tym nazwy schematów.

Projekt Open ISES w wersji 3.30A zawiera podatność na wstrzykiwanie SQL, która umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametrach tick_lat i tick_lng. Atakujący mogą wysyłać żądania GET do nearby.php z spreparowanymi ładunkami SQL w celu wydobycia poufnych informacji z bazy danych, w tym nazw użytkowników, nazw baz danych i szczegółów wersji.

Projekt Open ISES 3.30A zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametrze frm_passwd. Atakujący mogą wysyłać żądania POST do main.php z spreparowanymi ładunkami SQL w celu wydobycia poufnych informacji z bazy danych, w tym nazw użytkowników, nazw baz danych i szczegółów wersji.