Katalog podatności CVE

Podatność Stored XSS w systemie bilingowym CtrlPanel (wersje 1.1.1 i wcześniejsze) występuje w powiadomieniach odpowiedzi na zgłoszenia. Niesanitizowana treść odpowiedzi jest przechowywana w bazie danych i renderowana bez escapowania przez składnię Blade {!! !!}, co pozwala na wykonanie dowolnego JavaScriptu w kontekście sesji ofiary. Problem dotyczy zarówno powiadomień dla administratorów, jak i użytkowników.

Innoshop 0.6.0 zawiera podatność autoryzacyjną. Po zalogowaniu się do frontendu, atakujący może bezpośrednio uzyskać dostęp do interfejsów API backendu, co umożliwia dalsze niebezpieczne operacje.

W bibliotece libheif w wersjach do 1.21.2 włącznie występuje przepełnienie bufora sterty w funkcji HeifPixelImage::overlay(). Podczas składania obrazu nakładki (iovl), którego obraz potomny ma różną głębię bitową dla kanału alfa i kanałów kolorów, funkcja indeksuje płaszczyznę alfa przy użyciu kroku kanału kolorów zamiast kroku alfa, co powoduje odczyty poza końcem bufora alfa.

libheif w wersjach 1.21.2 i niższych zawiera przepełnienie bufora sterty w funkcji MaskImageCodec::decode_mask_image(). Podczas dekodowania pliku HEIF z obrazem maski, długość kopiowanych danych jest kontrolowana przez atakującego i może przekroczyć rozmiar bufora docelowego.

libheif to biblioteka do dekodowania i kodowania formatów HEIF i AVIF. Wersje 1.21.2 i starsze zawierają podatność na zapis poza dozwolonym obszarem pamięci sterty podczas składania kafelków siatki. Atakujący może dostarczyć plik HEIF/AVIF z siatką 1×4 kafelków o nieparzystej wysokości, co powoduje zapis 64 bajtów danych sterowanych przez atakującego poza przydzieloną pamięć.

Tokeny JWT używane przez workerów w Kubernetes Executors zostały ujawnione użytkownikom, którzy mieli dostęp tylko do odczytu do Podów Kubernetes. Może to pozwolić użytkownikom z dostępem tylko do odczytu na wykonywanie akcji, które były dostępne tylko dla uruchomionych zadań za pomocą Task SDK, a potencjalnie także na modyfikację stanu bazy danych Airflow dla zadań.

Podatność wykonania z niepotrzebnymi uprawnieniami w Broadcom Automic Automation Agent Unix na platformach Linux x64, Linux Power 64 BE, Linux Power 64 LE, zLinux (zSeries), AIX, Solaris x64, Solaris Sparc 64 umożliwia eskalację uprawnień i uruchamianie programów docelowych z podwyższonymi uprawnieniami. Problem dotyczy wersji Automic Automation starszych niż 24.4.4 HF1.

Wtyczka Kirki dla WordPressa do wersji 6.0.6 włącznie zawiera podatność na usuwanie plików z powodu niedostatecznej walidacji ścieżki pliku i braku sprawdzania uprawnień w funkcji 'downloadZIP'. Niezalogowani atakujący mogą odczytywać i usuwać dowolne pliki w katalogu uploads WordPressa.

Podatność CSRF w ScadaBR w wersji 1.2.0. Atakujący może nakłonić zalogowanego użytkownika do odwiedzenia złośliwej strony, co pozwala na wykonanie dowolnej uwierzytelnionej akcji w kontekście sesji ofiary.

Podatność na deserializację Java w bibliotece Jaspersoft Reports Library umożliwia zdalne wykonanie kodu (RCE). Atakujący może dostarczyć spreparowane dane, które po deserializacji wykonają dowolny kod na systemie docelowym.

Windmill przed wersją 1.703.2 ma nieprawidłowe domyślne uprawnienia w plikach konfiguracyjnych sandboksów nsjail, gdzie katalog /etc jest montowany bez ograniczeń odczytu i zapisu. Umożliwia to uwierzytelnionym użytkownikom zapisywanie dowolnych wpisów do plików /etc/hosts, /etc/resolv.conf oraz /etc/ssl/certs/ca-certificates.crt z wnętrza sandboksów wykonawczych skryptów.

Terminal Kitty w wersjach 0.46.2 i niższych zawiera przepełnienie sterty w funkcji load_image_data(). Każdy proces mogący pisać do stdin terminala może wysłać spreparowane polecenie APC z deklaracją PNG, które przekracza dwukrotność początkowej pojemności bufora, powodując natychmiastowy crash i potencjalnie zdalne wykonanie kodu.

Terrascan v1.18.3 i starsze są podatne na SSRF przez zewnętrzne rozwiązywanie URL w przesłanych szablonach IaC w trybie serwera. Nieuwierzytelniony atakujący może przesłać szablon ARM lub CloudFormation z polem wskazującym na kontrolowany URL, co powoduje pobranie go po stronie serwera. Możliwe jest również odczytanie lokalnych plików za pomocą schematu file://.

Terrascan v1.18.3 i starsze są podatne na SSRF przez parametr remote_url w endpointcie skanowania zdalnego katalogu w trybie serwera. Nieuwierzytelniony atakujący może podać URL HTTP, który jest przekazywany do go-getter bez walidacji. Go-getter wspiera nagłówek X-Terraform-Get, umożliwiający przekierowanie do file:// URL, co pozwala na odczyt lokalnych plików. Dodatkowo odczytywany jest plik ~/.netrc, co może ujawnić poświadczenia.

Terrascan w wersji 1.18.3 i wcześniejszych jest podatny na SSRF (Server-Side Request Forgery) przez parametr webhook_url w endpointcie skanowania plików (POST /v1/{iac}/{iacVersion}/{cloud}/local/file/scan) w trybie serwera. Nieuwierzytelniony atakujący może podać dowolny URL, a Terrascan wyśle do niego wyniki skanowania z tokenem webhook.

Podatność na wstrzyknięcie komend w endpointcie /cgi-bin/tools/ajax_cmd w Panabit PAP-XM320 do wersji v7.7. Uwierzytelniony użytkownik może wykonać dowolne komendy powłoki z uprawnieniami roota poprzez parametr action=runcmd.

W komponencie Motorola Factory Test (com.motorola.motocit) wykryto podatność nieprawidłowego uwierzytelniania. Aplikacja zawierała odwołanie do zapisywalnego deskryptora pliku w pamięci zewnętrznej, co mogło być wykorzystane przez aplikacje innych firm do otwarcia serwera TCP i ujawnienia wrażliwych uprawnień oraz danych.

BillaBear (wszystkie wersje przed styczniem 2026) zawiera podatność SQL Injection w EventRepository. Nazwy filtrów metryk i właściwości agregacji są bezpośrednio interpolowane do zapytań SQL przez sprintf() bez odpowiedniego oczyszczania. Uwierzytelniony atakujący z rolą ROLE_ACCOUNT_MANAGER może wykonać dowolne polecenia SQL.

NGINX JavaScript ma podatność, gdy dyrektywa js_fetch_proxy jest skonfigurowana z co najmniej jedną zmienną NGINX kontrolowaną przez klienta (np. $http_*, $arg_*, $cookie_*) oraz lokalizacją wywołującą operację ngx.fetch() z NGINX JavaScript. Nieuwierzytelniony atakujący może wykorzystać tę podatność, wysyłając spreparowane żądania HTTP. Może to spowodować przepełnienie bufora sterty w procesie roboczym NGINX, prowadząc do jego restartu. Dodatkowo atakujący mogą wykonać kod w systemach z wyłączoną randomizacją układu przestrzeni adresowej (ASLR) lub gdy atakujący może ominąć ASLR.

Funnel Builder for WooCommerce Checkout przed wersją 3.15.0.3 zawiera podatność braku autoryzacji w publicznym punkcie końcowym kasy, która pozwala nieuwierzytelnionym atakującym na wywoływanie wewnętrznych metod i zapisywanie dowolnych danych w ustawieniu globalnym External Scripts wtyczki. Atakujący mogą wstrzykiwać złośliwy JavaScript przez ustawienie External Scripts, który wykonuje się w przeglądarkach wszystkich odwiedzających stronę kasy.