Katalog podatności CVE

SmsForwarder w wersji do 3.5.0 zawiera lukę braku uwierzytelniania w serwerze HTTP AndServer, która pozwala nieuwierzytelnionym atakującym sieciowym wywoływać API zdalnego sterowania. Atakujący mogą wywołać domyślnie włączone endpointy, aby czytać SMS-y, rejestry połączeń i kontakty, wysyłać SMS-y oraz eksportować lub nadpisywać konfigurację przez API clone.

we-mp-rss do wersji 1.5.3 zawiera podatność braku autoryzacji w punkcie końcowym /api/v1/wx/tools/export/download, która pozwala nieuwierzytelnionym atakującym na pobieranie archiwów eksportu, ponieważ zależność uwierzytelniania jest zakomentowana. Atakujący mogą podać mp_id i odgadnąć nazwę pliku eksportu opartą na znaczniku czasu, aby pobrać archiwa z data/docs, oraz ustawić delete_after_download=true, aby je usunąć.

NullHub w wersji do 2026.5.29 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać dostęp do API zarządzania /api/*, ponieważ pole auth_token domyślnie ma wartość null i nigdy nie jest przypisywane. Atakujący wysyłający żądania bez nagłówków Authorization lub Origin do nasłuchów innych niż loopback mogą kontrolować instancje agentów, przepisywać konfiguracje, w tym poświadczenia dostawców, oraz zarządzać zadaniami cron i serwerami MCP.

jshERP w wersji do 3.6 zawiera lukę braku autoryzacji w endpointcie POST /user/batchSetStatus, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach zmieniać status kont innych użytkowników. Atakujący mogą przesłać spreparowane identyfikatory i wartości statusu, aby wyłączyć wszystkie konta niebędące właścicielem w swoim tenancie, blokując administratorów, lub ponownie włączyć wyłączone konta.

Yiuman citrus do wersji 0.15.0 zawiera podatność wstrzyknięcia SQL w klauzuli ORDER BY w frameworku zapytań citrus-support, która pozwala użytkownikom wstrzyknąć SQL poprzez parametr żądania sortBy. Atakujący mogą dotrzeć do dowolnej trasy listy kontrolerów rozszerzających BaseQueryController lub BaseQueryRestful, aby dołączyć niezwalidowany SQL do klauzuli ORDER BY i wyodrębnić zawartość bazy danych za pomocą technik ślepych opartych na boolean lub czasie.

youlai-mall do commita 9f62de8 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym członkom na przeglądanie zamówień wszystkich klientów poprzez punkt końcowy listy zamówień aplikacji. Atakujący mogą przeglądać tabelę oms_order za pomocą samodzielnie zarejestrowanego konta, aby odczytać identyfikatory zamówień, wartości order_sn, identyfikatory członków, kwoty płatności i statusy zamówień.

vlife do wersji 2.0.1 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym sfałszować tokeny JWT przy użyciu zakodowanego na stałe klucza podpisywania HS256 w TokenUtil. Atakujący może podpisać token z superUser=true i dowolnymi roszczeniami groupIds, aby uzyskać dostęp superadministratora do dowolnego URL w instancjach vlife.

REBUILD do wersji 4.5.0 zawiera podatność obejścia autoryzacji w kontrolerze AiBot2Controller na endpointach /aibot2, które działają na chatid dostarczonym przez wywołującego bez weryfikacji właściciela. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą podać chatid innego użytkownika do chat-init, chat-delete, chat-feedback lub chat-stream-stop, aby czytać, usuwać, eksfiltrować lub przerywać rozmowy asystenta AI.

ruoyi-vue-pro do wersji 2026.09 zawiera podatność Server-Side Request Forgery (SSRF) w usłudze obrazów yudao-module-ai, która pozwala uwierzytelnionym użytkownikom na zmuszenie serwera do pobierania dowolnych adresów URL poprzez podanie referImageUrl do endpointu midjourney imagine. Atakujący mogą wymusić żądania Hutool HttpUtil.downloadBytes() do adresów loopback, prywatnych lub metadanych chmury, aby sondować wewnętrzne usługi HTTP i uzyskać dostęp do endpointów metadanych.

Dromara Skyeye do commita 65d3ddcede70 zawiera podatność wstrzyknięcia SQL, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na wstrzyknięcie SQL poprzez parametr keyword w instrukcji MyBatis queryErpOrderItem przy użyciu surowego podstawienia ${}. Atakujący mogą wysyłać spreparowane wartości keyword do endpointów queryWarehousingDetails lub queryOutgoingDetails, aby wyodrębnić dane z bazy danych, w tym dane innych dzierżawców, używając technik boolean, UNION, error lub time-based.

BizSpring Shop do commita cf22d39daaf1 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w handlerach cancel i receive kontrolera OrderController, która pozwala uwierzytelnionym członkom na działanie na zamówieniach innych członków poprzez podanie ich orderId. Atakujący mogą anulować oczekujące zamówienia ofiar, aby zwolnić przydzielony zapas lub potwierdzić odbiór wysłanych zamówień, przyspieszając realizację i rozliczenie bez zgody ofiary.

BizSpring Shop do commita cf22d39daaf1 zawiera podatność obejścia weryfikacji płatności, która pozwala uwierzytelnionym kupującym na oznaczenie zamówień jako opłaconych poprzez wywołanie handlera PaymentController.testPostPay. Atakujący mogą wygenerować log płatności poprzez /member/payment/load i zażądać /member/payment/test_post_pay_{paymentLogSn}, aby otrzymać towar bez płacenia lub rozliczyć zamówienia innych członków.

LibreCAD libdxfrw do wersji LC2.2.0 (LibreCAD do 2.2.1.5) zawiera podatność odczytu poza granicami stosu w funkcji dwgReader18::readFileHeader() spowodowaną wywołaniem strlen na buforach niezakończonych znakiem NUL. Atakujący może dostarczyć spreparowany plik DWG AC1018, AC1024 lub AC1027 bez bajtów NUL w odszyfrowanym nagłówku, powodując odczyt sąsiedniej pamięci stosu i awarię procesu.

libschrift do wersji 0.10.2 zawiera podatność dzielenia przez zero, która pozwala atakującym na zawieszenie aplikacji poprzez dostarczenie czcionki z unitsPerEm równym 0 w tabeli head. Atakujący mogą dostarczyć spreparowaną czcionkę TrueType, której współrzędne glifów NaN omijają clip_points(), powodując odczyt poza zakresem w draw_line() podczas sft_render() i zawieszenie procesu.

Mini-XML w wersjach od 4.0.0 do 4.0.6 zawiera błąd zapisu poza granicami stosu typu off-by-one w funkcji mxml_strtod(), gdy separator dziesiętny locale nie jest kropką '.'. Atakujący może dostarczyć XML z 63-cyfrową wartością REAL zakończoną '.', aby zapisać bajt NUL poza 64-bajtowym buforem stosu, uszkadzając pamięć stosu lub powodując awarię procesu.

LASzip do wersji 3.5.0 zawiera podatność nieprawidłowego zwolnienia pamięci w laszip_read_header(), która pozwala atakującym na zwolnienie niezainicjalizowanych wskaźników sterty poprzez obcięte dane rekordu o zmiennej długości. Atakujący mogą dostarczyć spreparowany plik LAS/LAZ z zawyżoną liczbą VLR, który po otwarciu i zniszczeniu przez API C zawiesza proces i uszkadza stertę.

libmspack do wersji 0.11alpha zawiera podatność zwolnienia niezainicjalizowanego wskaźnika w kwajd_open() w mspack/kwajd.c, która zwalnia niezerowane wskaźniki filename i extra przy błędach odczytu nagłówka. Atakujący mogą dostarczyć obcięty, pusty lub o złym podpisie plik KWAJ, aby zawiesić proces lub uzyskać prymityw korupcji pamięci typu arbitrary-free.

libsixel przed wersją 1.8.7-r1 oraz od 1.9.0 do 1.10.5 zawiera podatność zapisu poza zakresem sterty w gif_init_frame() w src/fromgif.c, która nigdy nie sprawdza indeksu przezroczystego koloru GIF względem rozmiaru palety. Atakujący mogą dostarczyć spreparowany GIF z małą tabelą kolorów i dużym indeksem przezroczystości, przetwarzany z ustawionym kolorem tła, aby zapisać bajty poza buforem palety, powodując uszkodzenie sterty lub zawieszenie.

xlsxio do wersji 0.2.37 zawiera podatność dereferencji wskaźnika NULL w main_sheet_get_sheetfile_expat_callback_element_start() w lib/xlsxio_read.c, która pozwala atakującym na zawieszenie aplikacji poprzez spreparowane pliki. Atakujący mogą dostarczyć plik .xlsx, którego workbook.xml.rels zawiera relację arkusza bez atrybutu Id, powodując zawieszenie procesu przy wywołaniu xlsxioread_sheet_open().

L-SMASH w wersji do 2.14.5 zawiera lukę podwójnego zwolnienia w funkcjach hevc_setup_first_summary() i h264_setup_first_summary() w pliku importer/nalu_imp.c, które zwalniają pożyczone obiekty specyficzne dla kodeka na ścieżkach błędów. Atakujący mogą dostarczyć spreparowany strumień elementarny Annex-B bez możliwego do sparsowania SPS do lsmash_read_file() lub narzędzi boxdumper, remuxer albo muxer, powodując use-after-free, uszkodzenie sterty i awarie.