Katalog podatności CVE

TypeBot w wersjach przed 3.16.0 ma niedoskonałą ochronę SSRF dla bloków Webhook/HTTP Request. Walidacja sprawdza tylko literały nazw hostów i formaty IP, ale nie rozwiązuje DNS przed zezwoleniem na żądanie.

Typebot w wersji 3.15.2 i wcześniejszych zawiera podatność na wstrzykiwanie HTML/JS w komponencie RatingButton, który renderuje pole customIcon.svg bez sanityzacji za pomocą innerHTML. Atakujący może wstrzyknąć złośliwy kod, który wykona się w kontekście uwierzytelnionego użytkownika w panelu budowniczego, omijając sandbox Web Worker.

Nieprawidłowe zarządzanie stanem klucza czynnika w funkcji zarządzania uwierzytelnianiem wieloskładnikowym w Devolutions Server umożliwia atakującemu znającemu hasło użytkownika ominięcie uwierzytelniania wieloskładnikowego po rekonfiguracji czynników przez użytkownika.

Nieprawidłowa autoryzacja w funkcji przeglądania Active Directory w Devolutions Server. Niskouprzywilejowany uwierzytelniony użytkownik może uzyskać materiały uwierzytelniające powiązane z kontem usługi PAM poprzez przekierowanie uwierzytelniania na serwer kontrolowany przez atakującego.

Podatność w module ngx_http_rewrite_module NGINX Plus i NGINX Open Source występuje, gdy dyrektywa rewrite używa wzorca regex z nakładającymi się przechwyceniami PCRE, a ciąg zastępczy odwołuje się do wielu takich przechwyceń. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu.

W Ivanti Secure Access Client przed wersją 22.8R6 występuje podatność polegająca na nieprawidłowej walidacji certyfikatu, która umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu.

Follett Software's Destiny Library Manager w wersji 22_0_2_rc1 zawiera lukę typu directory traversal, która pozwala zdalnym atakującym na odczyt dowolnych plików systemowych i aplikacji za pomocą parametru image. Luka została naprawiona w wersji v.22.5 AU1.

W shell-quote funkcja quote() nie walidowała tokenów obiektowych względem modelu operatorów używanego przez parse(). Pole .op było escapowane znak po znaku za pomocą wyrażenia regularnego /(.)/g, które w JavaScript nie dopasowuje terminatorów linii (\n, \r, U+2028, U+2029). Terminator linii w .op przechodził więc nieescapowany do wyniku; powłoki POSIX traktują nową linię jako separator poleceń, więc zawartość po niej jest wykonywana jako drugie polecenie. Podatność jest osiągalna przez bezpośrednie konstruowanie { op: '...\n...' } lub przez parse(cmd, envFn) gdy envFn zwraca tokeny obiektowe z polem .op kontrolowanym przez atakującego. Poprawka polega na zastąpieniu escapowania znak po znaku ścisłą walidacją kształtu.

Wstawienie poufnych informacji do pliku dziennika w oprogramowaniu syslink AG Avantra na Linux i Windows prowadzi do wycieku zasobów.

Poprawka dla CVE-2025-48913 w Apache CXF była niekompletna, co oznacza, że inna ścieżka w kodzie może umożliwić wykonanie kodu, jeśli niezaufani użytkownicy mogą konfigurować JMS dla Apache CXF. Zaleca się aktualizację do wersji 4.2.1, 4.1.6 lub 3.6.11.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nieprawidłowo waliduje ramki WebSocket zakodowane w formacie msgpack przed alokacją pamięci, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na awarię procesu serwera i spowodowanie całkowitej przerwy w działaniu usługi dla wszystkich użytkowników poprzez wysłanie spreparowanej binarnej wiadomości WebSocket do publicznego punktu końcowego WebSocket.

Podatność SQL Injection w STER umożliwia uwierzytelnionemu atakującemu wstrzyknięcie zapytań SQL przez filtry wyszukiwania. Może to prowadzić do odczytu wrażliwych danych innych użytkowników lub innych danych dostępnych dla aplikacji.

Podatność w pluginie Ditty dla WordPressa w wersjach do 3.1.65 – brak weryfikacji autoryzacji w punkcie końcowym AJAX ditty_init pozwala nieuwierzytelnionym atakującym na odczyt treści niepublicznych Dittys (w tym szkiców, oczekujących, zaplanowanych i wyłączonych) poprzez enumerację identyfikatorów postów.

Podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w pluginie AudioIgniter dla WordPress do wersji 2.0.2. Funkcja handle_playlist_endpoint() zwraca dane ścieżek playlist bez uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na odczyt metadanych ścieżek (tytuły, artyści, URL-e audio, linki zakupu, URL-e pobierania, obrazy okładek) dowolnej playlisty, w tym w stanie szkicu, prywatnym, oczekującym lub koszu.

Wtyczka Easy Elements for Elementor dla WordPressa do wersji 1.4.5 zawiera lukę eskalacji uprawnień w funkcji easyel_handle_register(). Niezautoryzowany atakujący może zarejestrować nowe konto z pełnymi uprawnieniami administratora, wykorzystując parametr custom_meta[wp_capabilities][administrator]=1 w żądaniu AJAX.

Wtyczka WP ERP Pro dla WordPressa we wszystkich wersjach do 1.5.1 włącznie jest podatna na iniekcję SQL przez parametr 'search_key'. Podatność wynika z niedostatecznego escapowania i przygotowania zapytania SQL, co umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych danych.

Nieprawidłowo umieszczona konwersja z bajtów na int spowodowała możliwość paniki serwera w dekoderze pakietów AES-GCM dla starannie spreparowanych danych wejściowych.

Parser kluczy publicznych RSA i DSA nie narzucał limitów rozmiaru parametrów, co pozwalało na atak DoS poprzez przesłanie spreparowanego klucza z bardzo dużym modułem lub parametrem DSA. Weryfikacja podpisu mogła zająć kilka minut.

W urządzeniach UniFi OS wykryto podatność na path traversal, którą może wykorzystać osoba mająca dostęp do sieci i niskie uprawnienia. Pozwala ona na dostęp do plików w systemie, które mogą być manipulowane w celu uzyskania poufnych informacji.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescanMultiple(). Atakujący może nakłonić administratora do wykonania niechcianych operacji na plikach.