Katalog podatności CVE

Cap-go w wersjach przed 12.128.2 zawiera lukę w autoryzacji w kilku funkcjach RPC Supabase PostgREST, które są dostępne dla roli anon bez wymuszania członkostwa w organizacji lub sprawdzania uprawnień. Atakujący może wykorzystać publiczny klucz API Supabase do zapytań o wartości org_id, co pozwala na ujawnienie telemetrii użycia między najemcami.

Capgo przed wersją 12.128.2 nie egzekwuje maksymalnej wartości dla minimalnej długości hasła w konfiguracji polityki haseł. Administratorzy organizacji mogą ustawić ekstremalnie dużą wartość jako minimalną długość hasła, co uniemożliwia spełnienie wymagań dla wszystkich członków organizacji.

Capgo w wersjach przed 12.128.2 zawiera podatność typu server-side request forgery w walidacji URL webhooków, co pozwala na wykorzystanie adresów loopback i wewnętrznych. Administratorzy organizacji mogą konfigurować webhooki wskazujące na localhost lub 127.0.0.1, co prowadzi do wykonywania żądań wychodzących do tych adresów.

Capgo w wersjach przed 12.128.2 nie usuwa metadanych EXIF, w tym danych geolokalizacyjnych GPS z przesyłanych obrazów, co prowadzi do ujawnienia informacji. Atakujący mogą pobrać przesłane obrazy i wydobyć dokładne współrzędne geograficzne, ujawniając fizyczną lokalizację użytkownika w momencie wykonania zdjęcia.

Flowise w wersjach przed 3.0.8 zawiera podatność typu cross-site scripting (XSS) spowodowaną niewystarczającym filtrowaniem danych wejściowych w wiadomościach czatu oraz funkcjach agentów niestandardowych. Atakujący może wstrzyknąć złośliwy kod JavaScript, co prowadzi do kradzieży ciasteczek i danych sesji.

Wersje Liquidfiles przed 4.2.12 są podatne na lukę w kontroli dostępu, która umożliwia eskalację uprawnień z poziomu Administratora w drugorzędnej domenie do poziomu Sysadmina poprzez modyfikację grupy w ich zarządzanej drugorzędnej grupie.

Wtyczka Simple File List dla WordPressa jest podatna na nieautoryzowane operacje plikowe z powodu braku sprawdzenia autoryzacji w atrybucie shortcode 'frontmanage' we wszystkich wersjach do 6.3.7 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie współtwórcy i wyżej, wykonywanie dowolnych operacji na plikach.

Capgo w wersjach przed 12.128.2 zawiera lukę w autoryzacji w funkcji public.upsert_version_meta, która jest udostępniana przez PostgREST RPC. Umożliwia to nieautoryzowanym atakującym wstawianie dowolnych wierszy do version_meta dla dowolnego app_id.

Capgo w wersjach przed 12.128.2 zawiera błąd w funkcji egzekwowania polityki haseł. Po tym, jak Super Admin włączy politykę i pomyślnie zmieni swoje hasło na zgodne, backend nie aktualizuje stanu zgodności hasła, co prowadzi do ciągłych żądań resetowania hasła.

Capgo przed wersją 12.128.2 zawiera lukę w autoryzacji między najemcami w punktach końcowych PostgREST, która pozwala na dostęp do sekretów webhooków i dzienników dostaw innych najemców za pomocą kluczy API o zakresie organizacji.

Podatność w GitHub Copilot i Visual Studio Code wynika z inicjalizacji zasobu z niebezpiecznym domyślnym ustawieniem, co umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.

libde265 to otwartoźródłowa implementacja kodeka wideo h.265. Przed wersją 1.0.20, stworzona sekwencja jednostek NAL H.265 powoduje, że `decoder_context::read_slice_NAL()` dołącza nagłówki slice do obiektu obrazu, który nie ma aktywnej jednostki obrazu, co prowadzi do nieograniczonego wzrostu pamięci na stercie kontrolowanego przez atakującego.

Kestra to platforma orkiestracji oparta na zdarzeniach, która przed wersjami 1.3.19, 1.2.19, 1.1.19 i 1.0.43 miała problem z zadaniem `inputFiles`. Umożliwiało to zapisanie nazw plików bezpośrednio w katalogu roboczym zadania, co mogło prowadzić do nadpisania plików poza tym katalogiem.

Podatność w Microsoft Copilot umożliwia nieautoryzowanemu atakującemu wykonanie wstrzyknięcia poleceń przez sieć. Problem wynika z nieprawidłowej neutralizacji specjalnych elementów w poleceniach.

W aplikacji Mercator przed wersją 2025.05.19 występuje podatność typu Server-Side Request Forgery (SSRF) w panelu konfiguracyjnym CVE. Metoda `testProvider()` w `ConfigurationController` nie waliduje danych wejściowych użytkownika, co pozwala na wymuszanie dowolnych żądań sieciowych przez uwierzytelnionego użytkownika z odpowiednimi uprawnieniami.

YARD to narzędzie do generowania dokumentacji dla języka Ruby. W wersjach przed 0.9.44, statyczne wyszukiwanie w pamięci podręcznej YARD odczytuje ścieżkę żądania przed oczyszczeniem ścieżki przez router, co może prowadzić do ujawnienia plików HTML poza zamierzonym drzewem statycznym.

W wersjach 1.0.0-preview.97 do 1.0.0-preview.101 biblioteka @microsoft/kiota-http-fetchlibrary niepoprawnie obsługuje nagłówki `Authorization` i `Cookie` w przypadku przekierowań między źródłami. Domyślna funkcja `scrubSensitiveHeaders` nie usuwa tych nagłówków, co pozwala na ich przekazywanie do złośliwych hostów.

Statamic to system zarządzania treścią oparty na Laravel i Git. W wersjach przed 5.73.23 i 6.20.0, uwierzytelniony użytkownik Panelu Sterowania mógł przeglądać metadane i treści zasobów, do których nie miał uprawnień, co mogło prowadzić do ujawnienia wrażliwych informacji.

Podatność w Grafana Tempo pozwala uwierzytelnionemu użytkownikowi na wykonanie zapytania TraceQL z dużą wartością wskazówki exemplars, co prowadzi do nadmiernego przydziału pamięci i awarii instancji Tempo z powodu braku pamięci.

W AWX zidentyfikowano lukę w integracji webhooków GitHub. Kontroler przechowuje wartość statuses_url z ładunku webhooka bez weryfikacji, czy wskazuje na zaufany punkt końcowy API GitHub.