Katalog podatności CVE

Podatność XSS w wyświetlaniu kodu w Apache Allura przed wersją 1.19.1.

Podatność XSS w obsłudze Markdown w Apache Allura od wersji 1.10.0 przed 1.19.1.

Nagios Core przed 4.5.14 i Nagios XI przed 2026R1.7 są podatne na DOM-based XSS w jsonquery.js, gdzie niekodowane wartości JSON odzwierciedlane z pól przechowywanych są wstawiane do DOM bez sanityzacji, umożliwiając atakującemu wykonanie dowolnego JavaScriptu w przeglądarce ofiary.

Nagios Core przed 4.5.14 i Nagios XI przed 2026R1.7 są podatne na odzwierciedlone XSS w cmd.cgi przez parametr NagFormId. Zdalny nieuwierzytelniony atakujący może stworzyć złośliwy link, który po kliknięciu przez uwierzytelnionego użytkownika wykonuje dowolny JavaScript w jego przeglądarce.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na ominięcie zabezpieczeń z powodu nieprawidłowej autoryzacji.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji z powodu nieprawidłowej walidacji ścieżek podanych przez użytkownika.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji i manipulowanie plikami z powodu podatności na path traversal.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 jest podatny na przechowywane XSS. Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, co może prowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.

Uwierzytelniony użytkownik bez uprawnień do odczytu repozytorium może uzyskać dostęp do metadanych pakietów w określonych warunkach.

Nieuwierzytelniony użytkownik może uzyskać dostęp do ograniczonych artefaktów w JFrog Artifactory w określonych warunkach.

W Apache Airflow, endpoint materializacji zasobów (`POST /api/v2/assets/{asset_id}/materialize`) oraz sprawdzanie wyników XCom w `wait_dag_run_until_finished` autoryzowały docelowy Dag bez uwzględnienia zespołu, w przeciwieństwie do innych miejsc autoryzacji. W trybie wielozespołowym z menedżerem autoryzacji uwzględniającym zespoły, uwierzytelniony użytkownik z jednego zespołu mógł wywołać uruchomienia Dagów należących do innego zespołu, podając własne `dag_run_id` i `conf`, oraz mógł odczytać wartości XCom innego zespołu. Deployments używające menedżera FAB nie są dotknięte, ponieważ nie obsługuje on wielu zespołów. Zaleca się aktualizację do apache-airflow 3.3.1 lub nowszej.

W Apache Airflow, Task SDK nie maskował zawartości Zmiennej, której wartość JSON jest listą, więc sekrety przechowywane w tej formie pojawiały się w postaci jawnej w logach zadań i w interfejsie Rendered Templates. Maskowanie było stosowane tylko, gdy zdeserializowana wartość była stringiem lub słownikiem; lista na najwyższym poziomie nie pasowała do żadnego z tych przypadków i była zwracana bez maskowania. Każdy uwierzytelniony użytkownik, który może czytać logi lub wyrenderowane szablony zadania odwołującego się do takiej Zmiennej, mógł odzyskać wartości, bez specjalnej konfiguracji. Jest to odpowiednik CVE-2026-59244 dla list, którego poprawka obejmowała tylko przypadek słownika, więc wdrożenia, które zaktualizowały się w odpowiedzi na to ostrzeżenie, pozostają dotknięte i muszą zaktualizować się ponownie. Zaleca się aktualizację do apache-airflow 3.3.1 lub nowszej.

Podatność w Apache Airflow powoduje zapisywanie wartości zmiennych (Variables) oraz zawartości pola `extra` w połączeniach (Connections) do dziennika audytowego w postaci jawnego tekstu, gdy są one przesyłane przez punkty końcowe zbiorcze (`PATCH /api/v2/variables` i `PATCH /api/v2/connections`). Maskowanie w dzienniku audytowym rozpoznaje tylko pola najwyższego poziomu, a żądanie zbiorcze zagnieżdża encje dwa poziomy niżej, więc maskowanie nie jest stosowane. Każdy uwierzytelniony użytkownik z dostępem do odczytu dziennika audytowego (niekoniecznie mający uprawnienia do odczytu Variables lub Connections) może odzyskać te sekrety w oryginalnej formie, a kopia `extra` połączenia jest przechowywana w logu bez szyfrowania, podczas gdy tabela połączeń szyfruje ją.

Uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać dostęp do ograniczonych informacji wsparcia technicznego w określonych warunkach.

W Apache Airflow backend sekretów oparty na zmiennych środowiskowych rozwiązywał połączenia lub zmienne przypisane do zespołu z niewłaściwego zakresu zespołu. Zabezpieczenie zapobiegające temu działało tylko wtedy, gdy nie podano zakresu zespołu, a jego wzorzec nie mógł dopasować nazwy zespołu zawierającej podkreślenie. W trybie wielozespołowym uwierzytelniony użytkownik jednego zespołu mógł rozwiązać połączenie innego zespołu i uwierzytelnić się na zewnątrz przy użyciu poświadczeń tego zespołu.

Uwierzytelniony użytkownik może zapisywać dane poza zamierzonym katalogiem pamięci podręcznej Dockera w określonych warunkach dotyczących zdalnych repozytoriów.

W określonych samodzielnie hostowanych konfiguracjach Helm, wygenerowane prywatne klucze TLS mogą być przechowywane w renderowanych manifestach, dostępnych dla wysoce uprzywilejowanych lokalnych użytkowników.

W wersjach WhatsUp Gold przed 2026.0.2, uprzywilejowany atakujący może zapisywać dowolne pliki w lokalizacji dostępnej przez sieć na serwerze hosta.

W wersjach WhatsUp Gold przed 2026.0.2, uprzywilejowany atakujący może utworzyć akcję LogToFile z dowolnym rozszerzeniem pliku w katalogu głównym IIS.

W wersjach WhatsUp Gold przed 2026.0.2, luka w autoryzacji w API Scheduled Reports pozwala każdemu uwierzytelnionemu użytkownikowi na wywoływanie ograniczonych akcji.