Katalog podatności CVE

Niewystarczająca sanitizacja zapytań SQL w skrypcie narzędzia `sqloptimizer` umożliwia ataki typu SQL Injection w imieniu użytkownika root, jeśli logowanie powolnych zapytań jest włączone.

Podatność CVE-2026-44478 w hoppscotch umożliwia nieautoryzowanym użytkownikom dostęp do sekretów infrastruktury w formie niezaszyfrowanej poprzez endpoint GET /v1/onboarding/config, gdy ONBOARDING_RECOVERY_TOKEN jest pustym ciągiem. Problem ten został rozwiązany w wersji 2026.4.0.

W wersjach przed 0.21.1 gitoxide, implementacja gita napisana w Rust, pozwala na stworzenie złośliwego drzewa, które umożliwia zapisanie symlinków kontrolowanych przez atakującego w dowolnym katalogu, do którego użytkownik ma dostęp do zapisu.

ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.

ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 15.104.3 i 16.14.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.

PlaywrightCapture przed wersją 1.39.6 nie ograniczał wystarczająco nawigacji i żądań zasobów inicjowanych przez renderowane strony. Atakująca strona mogła wykorzystać mechanizmy przekierowania, aby otworzyć adresy URL typu file:// lub żądać zasobów z prywatnych adresów IP.

CVAT to narzędzie do interaktywnej adnotacji wideo i obrazów. W wersjach od 2.5.0 do 2.63.0, atakujący mogą dodać złośliwy kod JavaScript do przewodnika adnotacji, który następnie zostanie uruchomiony w przeglądarkach użytkowników otwierających ten przewodnik.

SQLBot przed wersją 1.8.0 zawiera podatność typu Cross-Workspace IDOR oraz obejście autoryzacji w punktach końcowych /api/v1/datasource/exportDsSchema oraz /api/v1/datasource/uploadDsSchema. Atakujący może uzyskać dostęp do schematów baz danych i źródeł danych należących do innych najemców/obszarów roboczych.

Nieprawidłowe oczyszczanie parametru zapytania `status` w punkcie końcowym `/unprotected/nova_error` umożliwia nieautoryzowanemu atakującemu wstrzyknięcie dowolnego nagłówka HTTP do odpowiedzi.

W systemie klastra DNS wyłączona jest weryfikacja SSL, co może umożliwić złośliwemu serwerowi przeprowadzenie ataku typu man-in-the-middle i przechwycenie danych uwierzytelniających.

Nieprawidłowe zarządzanie uprawnieniami oraz niewystarczające filtrowanie ścieżek umożliwiają odczyt dowolnych plików na serwerze za pośrednictwem punktów końcowych pobierania załączników cpdavd.

CubeCart to rozwiązanie oprogramowania e-commerce, które przed wersją 6.7.3 pozwalało administratorom z uprawnieniami do edytowania dokumentów na zapisanie surowego kodu PHP w Edytorze Faktur. Po kliknięciu przez dowolnego administratora opcji Drukuj, szablon jest zapisywany w pliku, który może być wykonany przez nieautoryzowanych użytkowników.

Podatność masowego przypisania w Quark Drive przed wersją 0.8.5 w punkcie końcowym POST /update umożliwia uwierzytelnionym atakującym nadpisanie danych uwierzytelniających administratora poprzez przesłanie dowolnego obiektu webui do słownika config_data. Atakujący mogą wykorzystać niewystarczające filtrowanie listy blokad, aby trwale zastąpić przechowywane dane logowania, zablokować legalnych administratorów i uzyskać trwały dostęp do wszystkich skonfigurowanych zadań, tokenów chmurowych i usług powiadomień.

CubeCart przed wersją 6.7.2 ma lukę, która pozwala atakującemu na przejęcie konta użytkownika poprzez manipulację linkami w e-mailach. Atakujący może wykorzystać nagłówek Host, aby wysłać złośliwy link do ofiary, co prowadzi do przejęcia konta.

EcclesiaCRM w wersji 8.0.0 i wcześniejszych ma lukę w funkcji ValidateInput(), która przekazuje parametry POST dostarczone przez użytkownika bez odpowiedniej sanitizacji do zapytań SQL. To umożliwia ataki typu SQL injection poprzez parametry zapytań z użyciem niestandardowych typów walidacji.

MISP to platforma do zarządzania informacjami o zagrożeniach. W wersjach przed 2.5.37 występowała podatność związana z niewłaściwą kontrolą dostępu w funkcji resetowania kluczy uwierzytelniających, co pozwalało administratorom organizacji na resetowanie kluczy kont administratorów witryny w tej samej organizacji.

Podatność CVE-2026-42602 dotyczy rozszerzenia Azure Authenticator, które w wersjach od 0.124.0 do 0.150.0 ma lukę w autoryzacji po stronie serwera. Umożliwia to każdej osobie posiadającej ważny token dostępu Azure autoryzację do dowolnego odbiornika OpenTelemetry, który używa autoryzacji 'azure_auth'.

Python-Multipart przed wersją 0.0.27 nie ograniczał liczby ani rozmiaru nagłówków części multipart/form-data. Atakujący może wysłać żądanie z wieloma powtarzającymi się nagłówkami lub pojedynczym bardzo dużym nagłówkiem, powodując nadmierne obciążenie CPU i odmowę usługi.

Moduł twisted.names w Twisted, przed wersją 26.4.0rc2, jest podatny na atak typu Denial of Service (DoS) poprzez wyczerpanie zasobów podczas dekompresji nazw DNS. Atakujący może wykorzystać tę podatność, wysyłając spreparowany pakiet TCP DNS z głęboko zagnieżdżonymi wskaźnikami kompresji.

W CubeCart przed wersją 6.6.0 zidentyfikowano podatności na uwierzytelnioną, czasową, ślepą injekcję SQL w parametrach sortowania (sort[price], sort_activity, sort_admin, sort_customer) w punktach końcowych produktów i logów. Umożliwia to atakującemu wykonanie dowolnych poleceń SQL, co zagraża poufności i integralności bazy danych.