Katalog podatności CVE

Snipe-IT przed wersją 8.6.2 zawiera podatność w punkcie końcowym POST /api/v1/kits/{kit_id}/licenses, która pozwala użytkownikowi z niskimi uprawnieniami na przypisanie licencji do zestawu (kitu) bez odpowiedniej autoryzacji. Brakuje walidacji dostępu do obiektu licencji, co umożliwia nieautoryzowane powiązanie licencji z zestawem.

Snipe-IT przed wersją 8.6.0 zawiera podatność w punkcie końcowym POST /account/request/{itemType}/{itemId}/{cancel_by_admin?}/{requestingUser?}, gdzie parametr cancel_by_admin jest akceptowany bez odpowiedniej autoryzacji. Uwierzytelniony użytkownik może podać identyfikator ofiary i po cichu anulować jej oczekujące żądania zasobów.

W Snipe-IT przed wersją 8.5.0 w metodzie displaySig kontrolera ActionlogController brakuje sanityzacji parametru filename, co pozwala uwierzytelnionemu atakującemu na wyjście poza zamierzony katalog i odczyt dowolnych plików dostępnych dla procesu serwera WWW.

W Snipe-IT przed wersją 8.6.2, przy włączonej pełnej obsłudze wielu firm (Full Multiple Companies Support) i opcji scope_locations_fmcs, endpoint API do tworzenia lokalizacji wykrywa niezgodność firm między lokalizacją nadrzędną a podrzędną, ale nie przerywa operacji, umożliwiając utworzenie lokalizacji podrzędnej w innej firmie niż nadrzędna.

Snipe-IT przed wersją 8.6.2 nie oczyszczał URI javascript: w hiperłączach Markdown, co pozwalało użytkownikowi z uprawnieniem assets.edit na umieszczenie złośliwego linku w polu niestandardowym typu textarea. Gdy inny użytkownik otworzy stronę szczegółów zasobu i kliknie link, wykona się dowolny kod JavaScript.

W Coturn przed wersją 4.13.0 polecenie CLI 'psd print sessions dump' przyjmuje argument ścieżki pliku i przekazuje go bezpośrednio do funkcji fopen bez walidacji. Uwierzytelniony administrator z dostępem do CLI może nadpisać dowolne pliki, do których proces Coturn ma prawo zapisu, używając danych zrzutu sesji.

GNU Wget nie weryfikuje adresu IP zwróconego w odpowiedzi PASV protokołu FTP podczas pracy w trybie pasywnym. Złośliwy serwer FTP lub serwer HTTP przekierowujący do URL-a FTP może wykorzystać to zachowanie do przekierowania połączenia danych Wget na dowolny adres IP i port.

W HestiaCP przed wersją 1.9.5 odkryto podatność na trwałe ataki XSS. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wstrzyknąć dowolny kod HTML/JavaScript poprzez utworzenie rekordu DNS z cudzysłowem i ładunkiem skryptu w polu wartości. Aplikacja nie koduje tego pola funkcją htmlspecialchars() w pliku list_dns_rec.php, co pozwala na wykonanie skryptu w przeglądarkach innych użytkowników, w tym administratorów.

Deloitte AI Assist for Customer udostępniał nieuwierzytelnione punkty końcowe API, które umożliwiały atakującemu ze znajomością dodatkowych parametrów odczyt lub wstrzyknięcie treści do korpusu RAG. 26 marca 2026 r. ograniczono dostęp sieciowy i wymuszono uwierzytelnianie dla wcześniej narażonych punktów końcowych.

Deloitte AI Assist for Customer akceptował nieuwierzytelnione żądania POST przez publiczne API, umożliwiając zdalnemu atakującemu ograniczone modyfikacje konfiguracji. Modyfikacje te nie były wykorzystywane przez system. Od 2026-03-25 ograniczono dostęp sieciowy i wymuszono uwierzytelnianie.

Deloitte AI Assist for Customer ujawniało informacje konfiguracyjne przez publiczne endpointy API, które akceptowały nieuwierzytelnione żądania. Informacje te mogły zmniejszyć wysiłek atakującego podczas rozpoznania. Od 2026-03-25 ograniczono dostęp sieciowy i wymuszono uwierzytelnianie.

W ZITADEL przed wersją 4.15.3, procedura obsługi zewnętrznego dostawcy tożsamości (IdP) sprawdzała, czy e-mail lokalnego użytkownika jest zweryfikowany, ale nie weryfikowała, czy zewnętrzny IdP potwierdził posiadanie tego samego adresu e-mail przed automatycznym powiązaniem kont. Umożliwiało to atakującemu posiadającemu konto u zewnętrznego dostawcy z adresem e-mail ofiary powiązanie go z lokalnym kontem ofiary.

Podatność w ZITADEL (wersje 3.0.0-rc.1 do 3.4.11 oraz 4.0.0-rc.1 do 4.15.1) powoduje, że walidacja zewnętrznych tokenów JWT pomija sprawdzanie wygaśnięcia, gdy token nie zawiera pola exp. Token z zaufanego wystawcy jest traktowany jako ważny bez automatycznego terminu ważności.

W ZITADEL przed wersjami 3.4.12 i 4.15.2, walidacja zewnętrznego JWT Identity Provider pomija sprawdzenie maksymalnego wieku tokena, gdy brakuje w nim deklaracji iat. Umożliwia to uwierzytelnienie dowolnie starych tokenów od zaufanego wystawcy.

Podatność w Grav przed wersją 2.0.0 pozwala uwierzytelnionemu użytkownikowi z rolą admin.super na spowodowanie awarii systemu lub zapełnienie dysku poprzez przesłanie specjalnie spreparowanego archiwum ZIP za pomocą narzędzia Direct Install. Problem wynika z braku ograniczeń w funkcji unZip dotyczących rozmiaru nieskompresowanych danych, liczby wpisów ani głębokości katalogów.

W Wekan przed wersją 9.64 wykryto podatność polegającą na obejściu autoryzacji między tablicami w regułach dostępu dla list kontrolnych i elementów list kontrolnych. Uwierzytelniony użytkownik z niskimi uprawnieniami, mający dostęp do zapisu na jednej tablicy i znający identyfikator docelowej prywatnej karty, może utworzyć dane listy kontrolnej na dostępnej karcie i przenieść je do prywatnej tablicy, do której nie ma dostępu.

Wtyczka bazodanowa dla Grav CMS przed wersją 1.2.0 zawiera podatność polegającą na niebezpiecznym konstruowaniu ciągów DSN PDO. Metoda Database::__call bezpośrednio łączy wartości konfiguracyjne YAML (takie jak host, dbname, charset, server, database, directory, filename) bez sanityzacji lub walidacji, co umożliwia administratorowi z dostępem do konfiguracji wtyczki wstrzyknięcie atrybutów DSN lub wartości umożliwiających przejście ścieżki.

PeerTube przed wersją 8.2.2 zawiera podatność na wstrzykiwanie skryptów (XSS) na stronach odtwarzania wideo renderowanych po stronie serwera. Podczas generowania bloku JSON-LD schema.org, metadane wideo są serializowane bez odpowiedniego kodowania znaków specjalnych, co pozwala atakującemu na wstrzyknięcie dowolnego kodu HTML lub JavaScript.

Grav przed wersją 2.0.0-rc.9 zawiera podatność na trwałe XSS przez atrybut stylu obrazka Markdown. Niekompletna poprawka dla CVE-2026-42841 pozostawia metodę MediaObjectTrait::style dostępną przez ten sam potok akcji, co pozwala edytorowi zapisać parametry stylu obrazka bez sanityzacji.

Podatność w Grav umożliwia uwierzytelnionemu administratorowi z uprawnieniami do tworzenia kopii zapasowych pobranie archiwum ZIP zawierającego pełną instalację Grav, w tym plik user/accounts/admin.yaml z hashem hasła administratora oraz katalog user/config z konfiguracją witryny. Problem występuje w wersjach przed 1.7.53 i został naprawiony w tej wersji.