Katalog podatności CVE

Biblioteka mcp-security w Spring AI przed wersją 0.1.9 nie implementuje obowiązkowych zabezpieczeń przed SSRF, przetwarzając niezaufane adresy URL w procesie OAuth bez weryfikacji, czy cele są złośliwe lub wewnętrzne. Podatność dotyczy tylko instalacji z włączoną Dynamic Client Registration (DCR).

Falco Solutions PHPPageBuilder w wersji 0.31.0 zawiera podatność na nieograniczone przesyłanie plików w module pagemanager/pagebuilder, co umożliwia zdalnym atakującym przesyłanie dowolnych plików i zdalne wykonanie kodu. Podatność wynika z niewystarczającej walidacji typów przesyłanych plików oraz ich zawartości wykonywalnej.

W urządzeniu TRENDnet TEW-432BRP w wersji oprogramowania 3.10B20 wykryto podatność na przepełnienie bufora stosu w funkcji formWPS pliku /goform/formWPS. Atakujący może zdalnie manipulować argumentem peerPin, co prowadzi do przepełnienia bufora. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie naprawiany.

W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 wykryto podatność polegającą na przepełnieniu bufora stosu w funkcji formSetRoute pliku /goform/formSetRoute. Atakujący może zdalnie manipulować argumentami ip/mask/gateway, co prowadzi do przepełnienia bufora. Exploit został publicznie ujawniony i może być wykorzystany.

Biblioteka form-data-objectizer przed wersją 1.0.1 jest podatna na zanieczyszczenie prototypu (prototype pollution) poprzez przetwarzanie kluczy formularza w notacji nawiasowej (np. name[sub]). Atakujący może wysłać pole formularza o nazwie zaczynającej się od __proto__, co prowadzi do mutacji Object.prototype i wpływa na cały proces Node.js.

W n8n-MCP przed wersją 2.51.2, gdy włączono tryb wielodostępny (ENABLE_MULTI_TENANT=true), żądania HTTP bez nagłówków x-n8n-url lub x-n8n-key domyślnie używały poświadczeń operatora, co pozwalało uwierzytelnionemu tenantowi MCP na wykonywanie wywołań zarządzania n8n na instancji operatora zamiast własnej.

W bibliotece asn1c w wersji 1.4 i wcześniejszych odkryto podatność bezpieczeństwa pamięci w generowanym kodzie dekodującym OER dla typu INTEGER. Podczas przetwarzania złośliwie spreparowanego, zerowej długości ładunku OER dla zmiennej długości, nieujemnego typu INTEGER, dekoder nie sprawdza wymaganych bajtów przed wyodrębnieniem najbardziej znaczącego bitu, co prowadzi do odczytu poza dozwolonym obszarem sterty (Heap Out-of-Bounds Read).

W AVideo 29.0 i wcześniejszych wersjach występuje klasyczna podatność na wstrzykiwanie metaznaków powłoki. W gałęzi powiadomień YPTSocket w pliku plugin/Live/on_publish.php polecenie execAsync() jest budowane przez konkatenację ciągów, z każdym argumentem w pojedynczym cudzysłowie, ale bez wywołania escapeshellarg(). Znak ' w dowolnej z trzech interpolowanych wartości ($users_id, $m3u8, $obj->liveTransmitionHistory_id) zamyka cytowany token i pozwala atakującemu dołączyć dowolne polecenia.

Roslyn CodeLens MCP Server w wersjach od 0.0.9 do 1.17.0 zawiera podatność polegającą na ładowaniu i wykonywaniu wszystkich zestawów DiagnosticAnalyzer wskazanych przez rozwiązanie bez żadnej listy dozwolonych, weryfikacji podpisu ani potwierdzenia użytkownika. Atakujący może umieścić złośliwy plik .csproj odwołujący się do kontrolowanej przez siebie biblioteki DLL w lokalizacji otwieranej przez ofiarę, co prowadzi do zdalnego wykonania kodu z uprawnieniami serwera.

Aplikacje Home Assistant Companion na iOS i Android udostępniają mostek JavaScript do WebView, który jest podatny na ataki z ifram pochodzących z innych domen. Luka umożliwia wykonanie dowolnego kodu JavaScript w kontekście głównej ramki frontendu Home Assistant oraz kradzież tokena dostępu zalogowanego użytkownika.

W FreePBX przed wersjami 16.0.22 i 17.0.5, moduł Dashboard w handlerze AJAX getcontent dołącza pliki PHP na podstawie danych wejściowych użytkownika bez sanityzacji ścieżki. Parametr $_REQUEST['rawname'] jest konkatenowany w wywołaniu include() z sufiksem .class.php, co umożliwia trawersację ścieżki za pomocą sekwencji ../ w celu dołączenia dowolnych plików .class.php z systemu plików. Kod PHP dołączonego pliku wykonuje się przed wystąpieniem błędu instancjonowania klasy.

Moduł CDR Reports w FreePBX przed wersjami 16.0.50 i 17.0.11 zawiera podatność na wstrzykiwanie SQL przez parametry POST 'order' i 'sort'. Atak wymaga uwierzytelnienia na koncie z dostępem do sekcji CDR, ale nie wymaga pełnych uprawnień administratora.

W FreePBX przed wersją 17.0.8, implementacja OAuth2 w module API nie weryfikuje poprawnie poświadczeń klienta podczas wydawania tokenów. Metoda validateClient() w pliku ClientRepository.php zawsze zwraca true, co pozwala osobie znającej ważny client_id na uzyskanie tokenów OAuth2 bez podawania poprawnego client_secret.

Podatność w oprogramowaniu DreamMaker firmy Interinfo umożliwia nieuwierzytelnionym lokalnym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie trawersowania ścieżek względnych.

DreamMaker firmy Interinfo zawiera podatność umożliwiającą dowolne przesyłanie plików, co pozwala uprzywilejowanym zdalnym atakującym na wgranie i wykonanie backdoora typu web shell, prowadząc do wykonania dowolnego kodu na serwerze.

Nieobsłużony wyjątek w Suprema BioStar 2 (Server) w wersjach 2.9.8, 2.9.10 i 2.9.11 pozwala nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataku typu DoS poprzez wysłanie żądań HTTP POST do punktu końcowego '/api/migration'. Powoduje to zatrzymanie krytycznych procesów i wyłączenie systemu do czasu ręcznego restartu usług lub serwera.

HAX CMS w wersjach do 26.0.0 zawiera podatność na trwałe XSS w endpointcie `/system/api/saveNode`. Uwierzytelniony użytkownik z uprawnieniami do edycji stron może ominąć filtr HTML, wstrzykując atrybut zdarzenia bez spacji przed nazwą atrybutu.

W komponencie Projektów w Mautic 7 wykryto podatność na trwały atak XSS. Nazwy projektów dostarczane przez użytkownika są wyświetlane bez odpowiedniego oczyszczania w widokach administracyjnych, co umożliwia wstrzyknięcie złośliwego skryptu.

Podatność w API v2 Mautic 7 (API Platform) pozwala na ominięcie kontroli dostępu opartej na właścicielu. Role z ograniczeniami do własnych zasobów (np. `viewown`, `editown`) nie są prawidłowo egzekwowane, co umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach dostęp do zasobów innych użytkowników.

W produkcie Waterfall WF-500 RX Host w wersji 7.9.1.0 R2502171040 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego (CWE-78). Atakujący mający dostęp do TX Host mogą wykonać kod na RX Host po skonfigurowaniu łącznika MySQL.