Katalog podatności CVE

API konfiguracji w Apache Airflow nie maskował wrażliwych wartości konfiguracyjnych o zakresie zespołu we wdrożeniach wielozespołowych. Gdy administrator włączył tryb wielozespołowy i udostępnił API konfiguracji, uwierzytelniony użytkownik z rolą Viewer mający tylko dostęp do odczytu konfiguracji — bez wcześniejszego dostępu do sekretu — mógł odczytać adres URL brokera Celery o zakresie zespołu, w tym osadzone poświadczenia, w postaci jawnego tekstu, podczas gdy równoważna opcja globalna była poprawnie maskowana. Masker sekretów dopasowywał tylko podstawowe nazwy sekcji i opcji i nie normalizował sekcji z prefiksem zespołu przed sprawdzeniem wrażliwości (CWE-200). Jest to odrębne obejście maskera od CVE-2026-48828 i CVE-2026-48892: wdrożenia, które zaktualizowały się do apache-airflow 3.3.0 w celu rozwiązania tych problemów, pozostają dotknięte tym wariantem o zakresie zespołu. Zaleca się aktualizację do apache-airflow 3.3.1 lub nowszego, który normalizuje sekcje z prefiksem zespołu przed maskowaniem.

Masker sekretów w Apache Airflow nie maskował wartości zmiennych `var.json`, których wartość jest słownikiem, w interfejsie Rendered Templates — wartość słownika nie przeszła kontroli `isinstance(str)` — więc sekret przechowywany jako zmienna JSON i odwoływany w szablonie przez `var.json` był wyświetlany w postaci jawnego tekstu każdemu użytkownikowi mającemu dostęp do widoku Rendered Templates danego zadania. Zaleca się aktualizację do apache-airflow 3.3.1 lub nowszego, który maskuje zagnieżdżone wartości zmiennych niezależnie od typu.

W Apache Airflow, endpoint XCom `GET /api/v2/{...}/xcomEntries/{key}?deserialize=true` przekazuje łańcuch znaków do `BaseXCom.deserialize_value` bez zabezpieczenia `_check_forbidden_xcom_keys`, co pozwala uwierzytelnionemu użytkownikowi z dostępem do zapisu i odczytu XCom na tworzenie dowolnych klas `airflow.*` na serwerze API (CWE-502). Uwierzytelniony użytkownik, który może zapisać wartość XCom i odczytać ją z `deserialize=true`, wywołuje niebezpieczną instancję. Zalecana jest aktualizacja do apache-airflow 3.3.1 lub nowszej, która odrzuca zarezerwowane klucze serializacji XCom przesłane jako literały JSON.

W Apache Airflow, masker sekretów ukrywa wartości przechowywane pod wrażliwymi nazwami kluczy, gdy są wyświetlane w interfejsie użytkownika. Limit głębokości rekurencji maskera nie schodził do wartości zagnieżdżonych w liście, krotce lub zbiorze poza tym limitem, więc zmienna Airflow zawierająca tak głęboko zagnieżdżoną wartość była wyświetlana bez maskowania w interfejsie zmiennych. Ekspozycja ogranicza się do interfejsu użytkownika: każdy uwierzytelniony użytkownik, który widzi zmienną w interfejsie, może już odczytać jej pełną wartość przez API REST zmiennych, więc nie ujawnia to danych, których użytkownik nie mógłby w inny sposób uzyskać — maskowanie jest obroną przed podglądaniem ekranu, a nie granicą kontroli dostępu. Jest to niekompletna poprawka po CVE-2026-42358, której poprawka uczyniła tylko przechodzenie po słowniku nieograniczonym; listy, krotki i zbiory poza limitem głębokości pozostały niezmaskowane w interfejsie. Wdrożenia, które zastosowały poprawkę CVE-2026-42358, powinny również dokonać aktualizacji, aby rozwiązać ten przypadek. Zalecana jest aktualizacja do apache-airflow 3.3.1 lub nowszej.

W GNU linkerze (ld) z pakietu binutils wykryto wiele podatności Use-After-Free w funkcji add_archive_element. Problem wynika z nieprawidłowego zwalniania obiektu BFD przez plugin_maybe_claim(), co pozostawia wiszące wskaźniki, które są później używane w trzech miejscach. Podatność jest wyzwalana, gdy aktywne są wtyczki LTO, a plik wejściowy nie jest częścią archiwum.

Podatność SSRF w funkcji synchronizacji zdalnych instancji w Vulnerability-Lookup. Adresy zdalnych instancji były walidowane tylko pod kątem podstawowej składni URL, a następnie serwer wykonywał żądania do nich bez ograniczeń sieciowych, podążając za przekierowaniami bez ponownej walidacji. Uwierzytelniony administrator z uprawnieniem admin:access mógł skonfigurować instancję wskazującą na wewnętrzne, pętlowe, link-local lub cloud metadata usługi.

Podatność w Vulnerability-Lookup pozwala nieaktywnym lub niepotwierdzonym kontom subskrybować strumienie SSE przez endpoint /pubsub/subscribe/<topic>. Autoryzacja opierała się wyłącznie na nagłówku X-API-KEY, bez weryfikacji stanu konta. Atakujący może utworzyć konto i natychmiast uzyskać dostęp do strumieni, które powinny być dostępne tylko dla aktywnych i potwierdzonych użytkowników.

W aplikacji Vulnerability-Lookup wykryto podatność na trwały atak XSS w filtrze Jinja render_tag_badges, używanym do wyświetlania tagów referencyjnych powiązanych z rekordami podatności. Wartości z tablicy containers.cna.references[].tags[] były bezpośrednio wstawiane do elementów HTML badge i opakowywane w markupsafe.Markup, co omijało automatyczne kodowanie HTML w Jinja. Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania rekordów podatności (np. vulnerability:create lub vulnerability:modify) mógł przesłać przez API CNA spreparowany tag zawierający dowolny HTML lub JavaScript.

W RustFS przed wersją 1.0.0-beta.12 anonimowe żądanie ListObjectVersions bez bezpośredniego zezwolenia polityki bucketu przechodzi do sprawdzenia s3:ListBucket i zwraca wynik przed zastosowaniem kontroli deny_anonymous_table_data_plane_if_needed oraz RestrictPublicBuckets. Umożliwia to ujawnianie wersji obiektów w bucketach z anonimowym listowaniem, nawet gdy operator włączył kontrolę dostępu publicznego.

W RustFS przed wersją 1.0.0-rc.1 egzekwowanie Object Lock pozwala na usunięcie lub wygaśnięcie obiektów pod retencją COMPLIANCE, gdy metadane .metadata.bin są nieczytelne, nie można ich sparsować lub brakuje konfiguracji. Funkcje check_object_lock_for_deletion, delete_prefix oraz skanery traktują takie przypadki jako brak konfiguracji blokady.

W RustFS przed wersją 1.0.0-beta.12 obsługa FTPS MKD w FtpsDriver::mkd wywołuje storage.create_bucket bez autoryzacji S3Action::CreateBucket. Uwierzytelnieni użytkownicy FTPS, którym odmówiono s3:CreateBucket, mogą tworzyć buckety.

W RustFS autoryzacja jawnych odczytów versionId w GetObject, źródłach CopyObject i UploadPartCopy używa s3:GetObject zamiast s3:GetObjectVersion. Osoby bez uprawnień do wersji historycznych mogą ujawnić znaną zawartość historycznych obiektów.

W Prowler przed wersją 5.37.0 formatter HTML w prowler/lib/outputs/html/html.py wstawiał finding.resource_tags do raportów bez escapowania HTML. Osoba z uprawnieniami do modyfikacji tagów zasobów może przechowywać HTML lub JavaScript, który wykona się, gdy inny użytkownik otworzy raport.

Nieuwierzytelniony użytkownik może ominąć uwierzytelnianie w określonych warunkach pamięci podręcznej.

Osoba z prawem zapisu do przechowywanych danych sesji może wpłynąć na JFrog Artifactory w określonych warunkach.

Osoba z uprawnieniami do zapisu w pakiecie może tworzyć mylące informacje o promocji wydania w określonych warunkach.

Wydawca repozytorium bez uprawnień do usuwania może modyfikować zawartość chronionych pakietów w określonych warunkach.

Nieuwierzytelniony użytkownik może uzyskać dostęp do ograniczonej zawartości Artifactory, gdy zdalne repozytorium z poświadczeniami jest skonfigurowane w określony sposób.

W rozszerzeniu Joomla SP Page Builder w wersji poniżej 6.8.0 nieuwierzytelniony atakujący może tworzyć komentarze, nawet jeśli komentowanie dla gości jest wyłączone, poprzez nadpisanie ustawienia danymi wejściowymi użytkownika.

W rozszerzeniu Joomla SP Page Builder w wersji poniżej 6.8.0 nieuwierzytelniony atakujący może tworzyć dowolne katalogi i pliki o z góry określonej nazwie.