Katalog podatności CVE

Podatność w SAP NetWeaver Enterprise Portal umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwych skryptów do parametru URL. Skrypty są odzwierciedlane w odpowiedzi serwera i wykonywane w przeglądarce użytkownika po odwiedzeniu spreparowanego adresu URL.

W komponencie File Tools biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi. Luka występuje w funkcjach read_file, write_file i edit_file w pliku tools/fs_ops.go. Atak wymaga dostępu lokalnego.

W bibliotece mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji tools.webFetch pliku tools/tool_web_fetch.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W komponencie IPv4 Handler biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji web_fetch w pliku tools/tool_web_fetch.go, gdzie manipulacja argumentem url umożliwia atakującemu wysyłanie żądań do wewnętrznych zasobów. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W komponencie exec Safety Guard biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa. Funkcja guardExecCommand w pliku tools/tool_exec.go nie zapewnia skutecznej ochrony, co umożliwia zdalne obejście mechanizmów zabezpieczających. Publicznie udostępniono exploit, a zgłoszenie na GitHubie zamknięto etykietą „nieplanowane”.

W aplikacji HedgeDoc przed wersją 1.11.0 stwierdzono podatność w przepływie eksportu do GitHub Gist. Mechanizm OAuth2 nie walidował poprawnie parametru state, co umożliwiało atakującemu sfałszowanie adresu zwrotnego i podmianę kodu autoryzacyjnego. W rezultacie ofiara klikająca w spreparowany link mogła nieświadomie wyeksportować swoją prywatną notatkę do Gist kontrolowanego przez atakującego.

W bibliotece tanstack db w wersji do 0.6.8 wykryto podatność w funkcji select w pliku src/query/compiler/select.ts w komponencie Alias Path Handler. Manipulacja prowadzi do niekontrolowanej modyfikacji atrybutów prototypu obiektu, co może być wykorzystane zdalnie. Exploit jest publicznie dostępny.

Podatność w bibliotece FlashAttention do wersji 2.8.3.post1 (naprawiona w commicie 0816ef1) polega na ataku symlinkowym w funkcji download_and_copy() w pliku hopper/setup.py. Funkcja ta rozpakowuje archiwa narzędzi NVIDIA bez walidacji dowiązań symbolicznych ani filtrowania elementów archiwum, co pozwala lokalnemu atakującemu na umieszczenie złośliwego dowiązania symbolicznego w przewidywalnym katalogu cache i nadpisanie dowolnych plików z uprawnieniami ofiary podczas budowania.

W OpenClaw w wersjach od 2026.5.28 do 2026.6.5 występuje podatność polegająca na obejściu autoryzacji w natywnym wyszukiwaniu internetowym. Umożliwia ona wywołaniom o niższym poziomie zaufania wykonywanie operacji wymagających silniejszych kontroli polityki bezpieczeństwa.

OpenClaw w wersjach od 2026.6.5 do 2026.6.8 zawiera podatność w mechanizmie instalacji wtyczek, która może ominąć sprawdzanie polityki instalacji (autoryzacji). Gdy podatna funkcja jest włączona i dostępna, osoba lub proces o niższym zaufaniu może wykonać lub utrwalić działania wykraczające poza przyznane uprawnienia.

HedgeDoc w wersjach przed 1.11.0 umożliwiał atakującym ominięcie ograniczeń szybkości żądań do ścieżek /login i /register poprzez fałszowanie nagłówka cf-connecting-ip. Aplikacja ufała temu nagłówkowi nawet gdy żądanie nie pochodziło z Cloudflare, co pozwalało na spamowanie logowaniem lub tworzenie wielu kont.

HedgeDoc przed wersją 1.11.0 był podatny na przechowywany atak HTML Injection przez niebezpieczne przetwarzanie lokalnej części adresu e-mail. Atakujący mógł zarejestrować specjalnie spreparowany adres e-mail i wstrzyknąć dowolny kod HTML do stron wyświetlanych innym użytkownikom.

Podatność w Skillable (dawniej Learn on Demand Systems) w punkcie końcowym uruchamiania laboratoriów SCORM nie sprawdza parametru userId dostarczonego przez klienta z uwierzytelnionym tokenem sesji SCORM. Uwierzytelniony użytkownik może podstawić dowolne wartości userId, aby ominąć limity szybkości uruchamiania laboratoriów na użytkownika i wykorzystać alokacje laboratoriów innych użytkowników.

Podatność w AnyDesk umożliwia lokalnemu atakującemu przeprowadzenie ataku typu „odmowa usługi” (DoS) poprzez nadużycie funkcji „Wyślij informacje pomocnicze”. Atak wymaga uprzedniego uzyskania niskiego poziomu uprawnień w systemie.

Podatność w AnyDesk umożliwia lokalnemu atakującemu przeprowadzenie ataku typu „odmowa usługi” (DoS) poprzez manipulację plikami nagrań ekranu. Wymaga to uprzedniego uzyskania możliwości wykonania kodu o niskich uprawnieniach na docelowym systemie.

W bibliotece antv layout w wersji 2.0.0 wykryto podatność polegającą na niekontrolowanej modyfikacji atrybutów prototypu obiektu. Problem występuje w funkcji setNestedValue w pliku lib/util/object.js, gdzie manipulacja argumentem path może prowadzić do ataku typu prototype pollution. Atak może być przeprowadzony zdalnie.

W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto podatność na atak XSS w pliku /subject.php. Nieznana funkcja tego pliku pozwala na manipulację argumentem subject, co umożliwia wstrzyknięcie złośliwego skryptu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie SourceCodester Class and Exam Timetabling System 1.0 odkryto podatność na atak XSS w pliku /forsubject.php. Nieznana funkcja tego pliku nieprawidłowo przetwarza argument subject, umożliwiając wstrzyknięcie złośliwego skryptu. Atak może być przeprowadzony zdalnie, a exploit został już publicznie udostępniony.

W systemie ChurchCRM przed wersją 7.4.0 użytkownik z niskimi uprawnieniami może ominąć interfejs /admin/export i wyeksportować cały katalog członków. Endpoint POST /CSVCreateFile.php generuje i przesyła plik CSV zawierający pełne dane osobowe (PII) wszystkich rekordów osób/rodzin w bazie danych, bez przeprowadzania autoryzacji na poziomie funkcji lub obiektu, poza ogólnym sprawdzeniem „ma jakiekolwiek uprawnienia administracyjne” odziedziczonym z bootstrapu strony. Innymi słowy, dowolna pojedyncza flaga uprawnień niebędących administracyjnymi wystarczy, aby uzyskać dostęp do punktu końcowego eksportu CSV, mimo że tacy użytkownicy nie powinni mieć praw do eksportu danych. W skrypcie eksportu brakuje własnego sprawdzenia isAdmin() (lub nowego bExportData). Problem został naprawiony w wersji 7.4.0.

Wtyczka Avada (Fusion) Builder dla WordPress jest podatna na przechowywany atak XSS poprzez parametr 'Module Title' we wszystkich wersjach do 3.15.5 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.