Katalog podatności CVE

SiYuan to system zarządzania wiedzą, który w wersjach od 2.1.12 do przed 3.7.0 renderuje metadane autorów pakietów z publicznego feedu bazaru w HTML bez odpowiedniego zabezpieczenia. W aplikacji desktopowej prowadzi to do przechowywanego XSS, co umożliwia wykonanie kodu na hoście.

Aplikacja Note Mark, od wersji 0.13.0 do przed 0.19.4, pozwala uwierzytelnionym użytkownikom na przesyłanie zasobów do notatek bez odpowiedniej walidacji nazwy pliku. Nazwa pliku jest przechowywana w bazie danych bez sanitizacji, co umożliwia atakującemu wykorzystanie sekwencji przejścia do katalogu.

Strapi to otwartoźródłowy system zarządzania treścią, który w wersjach od 4.0.0 do przed 5.37.0 nie wystarczająco sanitizował parametry zapytań przy filtrowaniu treści przez pola relacyjne. Atakujący bez uwierzytelnienia mógł wykorzystać parametr zapytania `where`, aby przeprowadzić atak boolean-oracle na prywatnych polach w tabeli `admin_users`, co umożliwiało przejęcie konta administratora.

W oprogramowaniu Fleet, przed wersją 4.81.0, występowała podatność w punkcie zarządzania MDM dla systemu Windows, która mogła pozwolić na przetwarzanie żądań bez odpowiedniej walidacji certyfikatu klienta. W pewnych okolicznościach, atakujący mógł podszyć się pod zarejestrowane urządzenie z systemem Windows i uzyskać wrażliwe dane konfiguracyjne.

W Strapi, w wersjach 4.x przed 4.26.1 oraz 5.x przed 5.33.2, występowała podatność na wstrzykiwanie zapytań do bazy danych w API do pisania typów treści. Uwierzytelniony administrator mógł wstrzyknąć dowolne polecenia bazy danych przez atrybut `column.defaultTo` podczas tworzenia lub modyfikacji typu treści.

Podatność CVE-2026-6332 dotyczy przechowywania wrażliwych informacji w postaci niezaszyfrowanej, co może prowadzić do ujawnienia chronionego kodu źródłowego. Autoryzowany atakujący, mając dostęp do kodu źródłowego, może go edytować lub kompilować.

Mongoose, narzędzie do modelowania obiektów MongoDB, przed wersjami 6.13.9, 7.8.9, 8.22.1 i 9.1.6 miało podatność, która pozwalała na obejście mechanizmu sanitizacji zapytań sanitizeFilter za pomocą operatora $nor. Operator ten nie był odpowiednio sanitizowany, co umożliwiało wstrzykiwanie złośliwych operatorów.

W systemie automatyzacji bibliotek firmy Yordam występuje podatność na wstrzykiwanie kodu, która umożliwia zdalne włączenie kodu. Problem dotyczy wersji od 19.5 do przed 22.1.

Podatność związana z nieprawidłową autoryzacją w systemie automatyzacji bibliotek Yordam umożliwia wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Dotyczy to wersji od 19.5 do przed 22.1.

Biblioteka Diffusers przed wersją 0.38.0 umożliwia zdalne wykonanie kodu bez zabezpieczenia trust_remote_code=True podczas ładowania potoków z repozytoriów Hugging Face Hub. Funkcja _resolve_custom_pipeline_and_cls w pipeline_loading_utils.py wykonuje interpolację ciągów na parametrze custom_pipeline, co może prowadzić do nieautoryzowanego wykonania kodu.

Valtimo to platforma automatyzacji procesów biznesowych typu open-source. W wersjach od 12.4.0 do 12.33.0 oraz 13.26.0, LoggingRestClientCustomizer w module web automatycznie przechwytuje wszystkie wychodzące wywołania HTTP i loguje pełne treści żądań oraz odpowiedzi, co może prowadzić do ujawnienia wrażliwych informacji.

Biblioteka Diffusers przed wersją 0.38.0 zawiera podatność umożliwiającą ominięcie zabezpieczenia trust_remote_code. Atakujący może zdalnie wykonać dowolny kod, nawet gdy parametr trust_remote_code jest ustawiony na False lub pominięty. Problem wynika z błędnej implementacji mechanizmu weryfikacji w funkcji download(), który można ominąć przez alternatywne ścieżki kodu.

Katalyst Koi, framework do budowania funkcji administracyjnych w Rails, miał problem z nieważnością ciasteczek sesyjnych administratora po wylogowaniu. Atakujący z dostępem do ważnego ciasteczka sesyjnego mógł kontynuować dostęp do funkcji administracyjnych po wylogowaniu, aż do wygaśnięcia ciasteczka lub rotacji sekretów sesji.

Podatność w interfejsie webowym Cisco Catalyst SD-WAN Manager (dawniej SD-WAN vManage) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu odczyt dowolnych plików przechowywanych w systemie. Luka wynika z nieprawidłowego przetwarzania encji zewnętrznych XML (XXE) podczas parsowania pliku XML.

Aegra, będąca zamiennikiem dla LangSmith Deployments, przed wersją 0.9.7 była podatna na atak typu cross-tenant IDOR. Umożliwia to uwierzytelnionemu atakującemu, posiadającemu identyfikator wątku innego użytkownika, wykonywanie operacji na tym wątku oraz dostęp do pełnego stanu kontrolnego użytkownika.

Middleware RedirectHandler w bibliotece microsoft/kiota-java (com.microsoft.kiota:microsoft-kiota-http-okHttp v1.9.0) oraz innych bibliotekach Kiota nie usuwa wrażliwych nagłówków HTTP podczas podążania za przekierowaniami 3xx do innego hosta lub schematu. Tylko nagłówek Authorization jest usuwany, natomiast nagłówki Cookie, Proxy-Authorization oraz wszystkie nagłówki niestandardowe są przekazywane do docelowego adresu przekierowania.

Gotenberg to API do plików PDF, które przed wersją 8.32.0 nie miało domyślnej ochrony przed atakami SSRF opartymi na HTTP/HTTPS. Atakujący mógł skierować Chromium na dowolny wewnętrzny adres IP i otrzymać odpowiedź w formacie PDF.

Gotenberg, API do plików PDF, ma podatność przed wersją 8.32.0, która może prowadzić do awarii procesu. Problem wynika z nieprawidłowego zarządzania kontekstem w przypadku równoległych żądań, co prowadzi do paniki w goroutine webhooka.

Gotenberg to API bezstanowe dla plików PDF, które przed wersją 8.32.0 przekazywało przesłane dokumenty bezpośrednio do LibreOffice, nie sprawdzając ich zawartości. LibreOffice samodzielnie pobierało wszelkie osadzone zewnętrzne adresy URL, co omijało filtry SSRF.