Katalog podatności CVE

W WOSDefaultHttpModule.dll występuje podatność na traversję ścieżki, która pojawia się podczas przetwarzania ścieżki URL zaczynającej się od /woshome.

Funkcje wywołujące WOSCommonUtil.dll!WOSSysInfoGetDeviceInterface() w różnych bibliotekach DLL (np. WOSProfileMgrModule.dll, WOSWebDavModule.dll) mogą zwracać wskaźnik NULL, gdy żaden użytkownik nie jest zalogowany do konsoli zarządzania Triofox Server Agent. Wskaźnik NULL nie jest sprawdzany przed jego dereferencją.

Podatność CVE-2026-8359 występuje w przypadku przetwarzania żądania z URL zaczynającym się od /status lub /sysinfo, gdzie próba załadowania modułu WOSHttpStatusModule.dll kończy się niepowodzeniem, ponieważ plik DLL nie jest obecny w instalacji. W efekcie wskaźnik funkcji do WOSBin_LoadHttpModule jest ustawiony na NULL, co prowadzi do wywołania funkcji pod adresem 0.

W wersjach przed 0.9.1 pam_usb, używający sprzętowej autoryzacji w systemie Linux, pomijał sprawdzenie PAM_RHOST, gdy usługa PAM była skonfigurowana z deny_remote=false. To pozwalało na autoryzację zdalnych połączeń XDMCP, co powinno być odrzucane.

W wersjach przed 0.9.0, funkcja pusb_pad_compare() w pam_usb nie wymuszała obecności i czytelności pliku pad na urządzeniu USB, co pozwalało użytkownikom na autoryzację bez fizycznego urządzenia. Użytkownik mógł usunąć swój plik ~/.pamusb/device.pad, co skutkowało pomyślną autoryzacją bez wymaganego urządzenia USB.

RELATE to pakiet kursów internetowych, który przed poprawką d66ba5659b459bf1ba56b7109b5f9ecf197cbefb konfigurował swoje pracowniki Celery do akceptowania i deserializacji nieufnych danych 'pickle'. Atakujący, który ma dostęp do brokera wiadomości, może wykonać dowolne polecenia na serwerze hosta.

Himmelblau to zestaw interoperacyjny dla Microsoft Azure Entra ID i Intune. W wersjach od 2.0.0 do przed 3.1.5 oraz 2.3.11 występowała podatność na obejście uwierzytelniania w przepływie Device Authorization Grant (DAG), która pozwalała użytkownikowi w tej samej domenie Entra ID uzyskać lokalną sesję Unix jako inny użytkownik, używając własnych ważnych poświadczeń.

MapServer, system do tworzenia aplikacji GIS w sieci, ma podatność, która występuje w wersjach od 6.4.0 do przed 8.6.3. Problem polega na tym, że msSLDParseUserStyle zawsze wywołuje _SLDApplyRuleValues, co prowadzi do dereferencji wskaźnika NULL w przypadku reguły bez symbolizera.

Pi.Alert, system wykrywający intruzów w sieciach WiFi/LAN, zawiera podatność na wstrzykiwanie SQL w endpointcie /pialert/php/server/devices.php. Niezautoryzowani użytkownicy mogą wykorzystać parametr scansource w żądaniu z action= getDevicesTotals do wykonania dowolnych zapytań SQL. Luka została załatana w wersji z 2026-05-07.

Biblioteka systeminformation dla Node.js w wersjach od 4.17.0 do 5.31.5 zawiera podatność na wstrzyknięcie poleceń w funkcji networkInterfaces() na systemie Linux. Problem występuje, gdy aktywna nazwa profilu połączenia Network Managera zawiera znaki specjalne powłoki, które nie są odpowiednio sanityzowane przed użyciem w poleceniach powłoki.

RELATE to pakiet kursów internetowych, który w wersjach przed commit 555f0efb1c5bd7531c07cd73724d7e566a81f620 ma podatność na przechowywane ataki typu cross-site scripting. Umożliwia to każdemu zapisanym studentowi wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora, co może prowadzić do przejęcia pełnego konta administratora.

GitLab naprawił problem w GitLab EE, który dotyczy wszystkich wersji od 18.8 przed 18.10.7, 18.11 przed 18.11.4 oraz 19.0 przed 19.0.1. W określonych warunkach, uwierzytelniony użytkownik mógł spowodować uruchomienie określonych procesów Duo AI pod tożsamością innego użytkownika z powodu niewłaściwego rozpoznawania tożsamości użytkownika.

Kysely to typowo bezpieczny budowniczy zapytań SQL w TypeScript. W wersjach od 0.26.0 do 0.28.16, metoda DefaultQueryCompiler.visitJSONPathLeg nie ucieka metaznaków JSON-path, co pozwala atakującemu na nieautoryzowany dostęp do pól JSON, które nie miały być ujawnione.

W routerach Archer BE450 v1 i BE7200 v1 występuje podatność na wstrzykiwanie poleceń, która pozwala uwierzytelnionemu administratorowi na wykonywanie dowolnych poleceń systemowych przez interfejs zarządzania w sieci. Po pomyślnym uwierzytelnieniu, atakujący może wykorzystać konsolę dewelopera przeglądarki, aby wprowadzić odpowiednio przygotowane dane, które są przekazywane do poleceń systemowych bez odpowiedniej sanitizacji.

Budibase to platforma open-source do niskokodowego tworzenia aplikacji. W wersjach przed 3.39.0, funkcja fetchToken w SDK OAuth2 wykonuje POST do URL dostarczonego przez twórcę, pomijając sprawdzenie blacklist.isBlacklisted, co może prowadzić do nieautoryzowanego dostępu.

Budibase to otwartoźródłowa platforma low-code, która przed wersją 3.39.0 miała luki w zabezpieczeniach związane z dostępem do tras GET i PUT dla pojedynczego źródła danych. Użytkownicy z rolą Basic mogli uzyskać dostęp do poufnych informacji, takich jak sekrety autoryzacji, poprzez manipulację danymi konfiguracyjnymi.

Budibase to otwartoźródłowa platforma low-code. Przed wersją 3.39.0, punkt końcowy budowania schematu webhooka nie wymagał autoryzacji, co pozwalało nieautoryzowanym użytkownikom na aktualizację schematu ciała dla znanego webhooka.

Budibase to otwartoźródłowa platforma low-code. W wersjach przed 3.39.0 komponent tekstowy Budibase renderuje markdown, przypisując marked.parse(markdown) bez użycia sanitizera, co prowadzi do podatności na XSS.

Budibase to platforma open-source low-code. W wersjach przed 3.39.0 funkcja pobierania tokena OAuth2 nie ma ochrony przed SSRF, co pozwala użytkownikom z rolą BUILDER na wskazywanie wewnętrznych usług w celu wykradania wrażliwych danych.

Budibase to otwartoźródłowa platforma low-code, która przed wersją 3.38.3 nie maskowała poprawnie wrażliwych danych w integracji z Snowflake. Użytkownik z autoryzacją BASIC mógł uzyskać pełny klucz PEM w formacie tekstowym.