Katalog podatności CVE

IBM WebSphere Application Server 9.0 i 8.5 tradycyjny jest podatny na niebezpieczną deserializację przed uwierzytelnieniem, co może pozwolić zdalnemu atakującemu na ominięcie uwierzytelnienia lub wykonanie dowolnego kodu.

IBM WebSphere Application Server 9.0 i 8.5 jest podatny na złamaną kontrolę dostępu/escalację uprawnień w konsoli administracyjnej.

W pglogical, podczas stosowania replikowanych zmian dla wiersza z brakującymi kolumnami, oceniane są domyślne wyrażenia tabeli na subskrybencie. Proces apply działa z uprawnieniami superużytkownika PostgreSQL, więc funkcje wywołane przez domyślne wyrażenia również działają z tymi uprawnieniami. Wydawca może wykorzystać tę ścieżkę do eskalacji uprawnień do superużytkownika na subskrybencie.

Mechanizm kolejki pglogical, używany do przesyłania poleceń spoza pasma, takich jak replikowane DDL, wykonuje ładunki wiadomości na subskrybencie z uprawnieniami superużytkownika PostgreSQL. Osoba działająca jako wydawca może wysłać spreparowane wiadomości, które wykonują dowolne SQL na subskrybencie jako superużytkownik, co pozwala na eskalację uprawnień i naruszenie izolacji między dzierżawcami.

Terraform-mcp-server przed wersją 1.1.0 jest podatny na problem ponownego użycia poświadczeń między dzierżawcami w trybie streamable-HTTP. Pozwala to na użycie tokena Terraform jednego użytkownika do wykonywania wywołań narzędzi w imieniu kolejnych użytkowników.

Pivotick zawiera podatność na ataki XSS oparte na DOM w funkcjach rozpoznawania elementów UI i renderowania ikon. Funkcja tryResolveHTMLElement traktuje dowolny rozpoznany ciąg jako znacznik HTML, a createIcon wstawia ikony SVG bez sanityzacji. Nieuwierzytelniony atakujący może dostarczyć spreparowany graf, wartość właściwości lub ikonę SVG, co prowadzi do wykonania JavaScript w przeglądarce ofiary.

Apache Axis2/Java do wersji 2.0.0 zawiera podatność na deserializację niezaufanych danych w komponencie klastrowania Tribes na Tomcat (domyślnie wyłączona). Nieuwierzytelniony atakujący zdalny z dostępem sieciowym do portu klastra może dostarczyć spreparowany serializowany obiekt Java, co prowadzi do wykonania dowolnego kodu. Problem został naprawiony przez usunięcie funkcji klastrowania w wersji 2.0.1.

Rozszerzenie Joomla Balbooa Forms w wersji poniżej 2.4.3 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia. Niezabezpieczona logika przetwarzania formularzy umożliwia wykonanie kodu dla formularzy zawierających pole typu podpis.

W systemie SCADA PROCON-WEB endpoint 'GetGridData' nie jest odpowiednio oczyszczany. Pozwala to zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń SQL.

W AppEngine dostęp do plików przez HTTP jest nieprawidłowo ograniczony, co pozwala nieuwierzytelnionemu atakującemu na odczyt i zapis w newralgicznych obszarach systemu plików. Udostępniono krytyczny katalog, w tym pliki parametrów urządzenia, co umożliwia odczyt i modyfikację ustawień aplikacji oraz haseł klientów. Dodatkowo dostęp do katalogu aplikacji niestandardowych może pozwolić na wykonanie dowolnego kodu Lua w środowisku AppEngine.

Wtyczka SMS Alert dla WordPressa w wersjach do 3.9.7 włącznie zawiera podatność na ominięcie uwierzytelniania prowadzącą do przejęcia konta. Funkcja processRegistration() używa flagi sesyjnej $_SESSION['sa_mobile_verified'] jako jedynej bramy przed wydaniem ciasteczka uwierzytelniającego, ale flaga ta nie jest powiązana z konkretnym numerem telefonu. Atakujący może zweryfikować własny numer, a następnie wysłać żądanie rejestracji z numerem ofiary, co skutkuje uwierzytelnieniem jako dowolny istniejący użytkownik WordPressa, w tym administrator.

Podatność na deserializację niezaufanych danych w aplikacji Station Launcher w platformie 3DEXPERIENCE od wersji R2023x do R2026x może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia.

Wtyczka TrueBooker dla WordPressa przed wersją 1.2.4 nie weryfikuje własności konta podczas resetowania hasła przez jeden z front-endowych handlerów kont. Umożliwia to nieuwierzytelnionym atakującym ustawienie dowolnego hasła na dowolnym koncie, w tym administratora, i przejęcie strony.

W Quest KACE SMA 11.0.273 mechanizm ograniczania szybkości żądań API może zostać ominięty przez usunięcie ciasteczka kboxid, co umożliwia atak brute-force.

Quest KACE SMA 11.0.273 używa zakodowanego na stałe symetrycznego klucza szyfrowania do ochrony sekretów w bazie MySQL. Klucz nie jest unikalny dla instalacji, więc atakujący z dostępem do serwera MySQL lub kopii zapasowej może odszyfrować sekrety.

W Quest KACE SMA 11.0.273 ograniczenia dostępu do konsoli webowej (np. przez adres IP) nie dotyczą endpointów API. Jeśli atakujący zna dane uwierzytelniające lub klucze API, może uzyskać dostęp do urządzenia przez API, co może prowadzić do kompromitacji całego środowiska.

Podatność na trwałe XSS w narzędziu do wizualizacji drzewa przechwytywania. Serializowane dane drzewa były osadzane w bloku JavaScript inline, co pozwalało na wstrzyknięcie złośliwego kodu HTML/JavaScript. Atakujący mógł wykonać działania w kontekście sesji ofiary.

Problem inicjalizacji pamięci został rozwiązany poprzez ulepszone zarządzanie pamięcią. Luka występuje w iOS 26.6, iPadOS 26.6, macOS Sequoia 15.7.8, macOS Sonoma 14.8.8, macOS Tahoe 26.6, tvOS 26.6, visionOS 26.6 i watchOS 26.6. Aplikacja może spowodować nieoczekiwane zakończenie działania systemu.

Podatność typu przepełnienie liczby całkowitej została naprawiona poprzez poprawę walidacji danych wejściowych. Problem dotyczy systemów iOS, iPadOS, macOS, tvOS i visionOS. Zdalny atakujący może spowodować nieoczekiwane zakończenie działania aplikacji lub uszkodzenie sterty.

Podatność typu zapis poza zakresem została naprawiona poprzez poprawę walidacji danych wejściowych. Dotyczy systemów iOS, iPadOS, macOS, tvOS i visionOS. Zdalny atakujący może spowodować nieoczekiwane zakończenie działania aplikacji lub uszkodzenie sterty.