Katalog podatności CVE

Nezha Monitoring przed wersją 2.2.5 ujawnia w odpowiedziach API /api/v1/ddns i /api/v1/notification pełne obiekty zasobów, w tym poświadczenia stron trzecich w postaci jawnego tekstu, takie jak tokeny API Cloudflare, SecretKeys TencentCloud, webhooki Slack, Discord i Telegram z osadzonymi tokenami botów oraz wartości nagłówka Authorization. Każdy uwierzytelniony administrator lub PAT z zakresem nezha:ddns:read lub nezha:notification:read może uzyskać przechowywane poświadczenia za pomocą handlerów listDDNS i listNotification w pojedynczej odpowiedzi API.

Wtyczka Colorbox dla Drupala zawiera lukę umożliwiającą atak Cross-Site Scripting (XSS) poprzez niewłaściwą neutralizację danych wejściowych podczas generowania strony. Luka dotyczy wersji od 0.0.0 do 2.1.5 oraz od 0.0.0 do 2.2.0.

W Drupal FlowDrop wykryto brak autoryzacji, co umożliwia ataki typu Forceful Browsing. Podatność dotyczy wersji od 0.0.0 do 1.6.0.

W Drupal FlowDrop wykryto brak autoryzacji, umożliwiający atak typu Forceful Browsing. Podatność dotyczy wersji od 0.0.0 do 1.6.0.

Podatność na niewłaściwą neutralizację danych wejściowych podczas generowania strony (Cross-site Scripting) w Drupal Canvas umożliwia ataki XSS. Problem dotyczy wersji Drupal Canvas od 0.0.0 do 1.4.2, od 1.5.0 do 1.5.2, od 1.6.0 do 1.6.1 oraz od 1.7.0 do 1.7.1.

Podatność na niewłaściwą neutralizację danych wejściowych podczas generowania strony (Cross-site Scripting) w Drupal Canvas umożliwia ataki XSS. Problem dotyczy wersji Drupal Canvas od 0.0.0 do 1.4.2, od 1.5.0 do 1.5.2, od 1.6.0 do 1.6.1 oraz od 1.7.0 do 1.7.1.

W frameworku Frappe przed wersjami 16.16.0 i 15.106.0 endpoint reset_password umożliwiał enumerację użytkowników. Atakujący mógł sprawdzić, czy dany adres email istnieje w systemie.

W Drupal Core wykryto podatność na ataki typu Cross-Site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy szerokiego zakresu wersji, od 0.0.0 do 10.5.12, 10.6.0-10.6.11, 11.2.0-11.2.14, 11.3.0-11.3.12 oraz wszystkich wersji 11.0.* i 11.1.*.

Podatność typu Open Redirect w rdzeniu Drupala umożliwia przekierowanie użytkownika na zaufaną stronę, co może prowadzić do fałszowania treści. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.

Podatność w Drupal core umożliwia niekontrolowaną modyfikację dynamicznie określanych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wielu wersji Drupal core, od 0.0.0 do 10.5.12, 10.6.0-10.6.11, 11.2.0-11.2.14, 11.3.0-11.3.12 oraz gałęzi 11.0.* i 11.1.*.

Podatność w rdzeniu Drupala umożliwia niekontrolowaną modyfikację dynamicznie określanych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wielu wersji Drupala, w tym 10.5.x, 10.6.x, 11.2.x, 11.3.x oraz starszych gałęzi 11.0.x i 11.1.x.

Mailpit przed wersją 1.30.2 zawiera niekompletną poprawkę podatności CVE-2026-27808, która nie blokuje wszystkich mechanizmów przejścia IPv6 (NAT64, 6to4, ISATAP itp.). Atakujący może wykorzystać API Link Check do skanowania wewnętrznych usług, w tym punktów końcowych metadanych chmury.

Podatność w ModSecurity od wersji 3.0.0 do 3.0.15 dotyczy transformacji t:utf8toUnicode na architekturze i386. Błąd w kodzie powoduje, że funkcja snprintf używa rozmiaru wskaźnika zamiast długości bufora Unicode, co prowadzi do nieprawidłowego wyniku i umożliwia ominięcie reguł WAF.

Podatność w Apache Log4j API powoduje generowanie nieprawidłowego JSON podczas serializacji MapMessage z wartościami zmiennoprzecinkowymi NaN, Infinity lub -Infinity. Problem dotyczy wersji 2.13.1 do 2.25.4 oraz 2.26.0, a poprawka dla CVE-2026-34481 nie objęła wszystkich ścieżek kodu.

W frameworku Frappe przed wersjami 16.20.0 i 15.110.0 użytkownicy bez uprawnień do zapisu mogli dołączać pliki do dowolnego typu dokumentu za pomocą punktów końcowych API do obsługi plików, takich jak add_attachments. Luka została naprawiona w wersjach 16.20.0 i 15.110.0.

W frameworku Frappe przed wersjami 15.107.5 i 16.18.2 brakowało odpowiednich kontroli uprawnień w punkcie końcowym reportview. Luka ta została załatana w wymienionych wersjach.

Podatność typu path traversal w frameworku Frappe umożliwia nieautoryzowany dostęp do plików kopii zapasowych poprzez funkcję download_backups. Problem występuje w wersjach przed 16.19.0 i 15.109.0 z powodu braku odpowiedniego zabezpieczenia ścieżek.

Wtyczka AI SEO/GEO Analyzer dla Drupala zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka dotyczy wersji od 0.0.0 do 1.1.3.

W Drupal UI Patterns (SDC) wykryto podatność na przechowywany atak XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Luka umożliwia atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany przy każdym wyświetleniu zainfekowanej strony.

Podatność w module Drupal ECA: Event - Condition - Action umożliwia niekontrolowaną modyfikację dynamicznie określonych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wersji od 0.0.0 do 2.1.20, od 3.0.0 do 3.0.12 oraz od 3.1.0 do 3.1.4.