Katalog podatności CVE

Budowa indeksu IVFFlat w pgvector przed wersją 0.8.7 pozwala użytkownikowi bazy danych na zapis danych poza dozwolonym obszarem (out-of-bounds), co może prowadzić do wykonania dowolnego kodu.

Aplikacja Joyland AI domyślnie akceptuje nieprawidłowe certyfikaty SSL w niewidocznym WebView reklamowym. Może to pozwolić na ataki man-in-the-middle i przechwycenie danych przesyłanych w tym WebView.

Aplikacja Joyland AI wyraźnie zezwala na ruch HTTP w postaci czystego tekstu w systemie Android 9+, gdzie domyślnie jest on blokowany. Może to prowadzić do przechwycenia danych przesyłanych bez szyfrowania.

Aplikacja Joyland AI nie weryfikuje nazw hostów, co pozwala złośliwemu hostowi na połączenie się lub przechwycenie wiadomości czatu. Może to prowadzić do ataków man-in-the-middle i kradzieży danych.

Aplikacja Joyland AI akceptuje dowolne certyfikaty TLS z dowolnego serwera bez ich weryfikacji. Oznacza to, że połączenia sieciowe nie są bezpieczne i mogą być podsłuchiwane lub modyfikowane przez atakującego.

Aplikacja Joyland AI pozwala atakującemu z dostępem do współdzielonej sieci na wstrzyknięcie JavaScript do treści ładowanej w WebView. Bez uprawnień nadanych przez użytkownika, atakujący może uzyskać dostęp do schowka, wysyłać dowolne żądania HTTP za pomocą modułu 'stream' Weex lub uzyskać dostęp do wewnętrznego magazynu aplikacji. Jeśli aplikacja ma wcześniej nadane uprawnienia, atakujący może uzyskać dostęp do całego systemu plików, kamery, mikrofonu i śledzenia GPS.

Aplikacja Joyland AI zawiera zakodowane na stałe poświadczenia do usługi powiadomień push GeTui, co pozwala atakującemu na dostęp do API GeTui i wysyłanie powiadomień push z dowolną treścią do dowolnego użytkownika, grupy użytkowników lub wszystkich użytkowników aplikacji jednocześnie.

Aplikacja Cadmos LTI (cadmos.eummena.io) miała włączony tryb debugowania Laravel (APP_DEBUG=true, APP_ENV=local) w publicznie dostępnym środowisku. Nieuwierzytelniony atakujący może wysłać żądanie GET i wywołać nieobsłużony wyjątek, co powoduje ujawnienie całego środowiska serwera, w tym wszystkich zmiennych konfiguracyjnych .env, w postaci jawnego tekstu. Naprawiono do 2026-09-02.

Wdrożenie Wormhole.app przed 2026-08-22 ma nieprawidłową konfigurację serwera TURN coturn i nie ogranicza właściwie peerów TCP relay, co pozwala nieuwierzytelnionemu atakującemu na dostęp do metadanych instancji lub na nawiązywanie połączeń TCP z adresu IP relay Wormhole.

W usłudze TDDPv2 (/usr/bin/tddp) na Deco M9 Plus istnieje podatność na przepełnienie bufora opartego na stosie z powodu niewystarczającej walidacji długości odszyfrowanych danych żądania przed skopiowaniem ich do bufora o stałym rozmiarze w handlerze podtypu 0x91. Skuteczne wykorzystanie może pozwolić sąsiedniemu, nieuwierzytelnionemu atakującemu na spowodowanie DoS lub wykonanie dowolnego kodu podczas fazy konfiguracji urządzenia poprzez spreparowane pakiety TDDP.

W usłudze TDDPv2 (/usr/bin/tddp) na Archer AX90 V1 istnieje podatność na wstrzyknięcie poleceń. Nieuwierzytelniony atakujący z sąsiedniej sieci może wykorzystać handler polecenia setProductVer do wykonania dowolnych poleceń systemu operacyjnego jako root podczas bootowania urządzenia. Skuteczne wykorzystanie może prowadzić do całkowitej kompromitacji urządzenia poprzez wykonanie dowolnych poleceń z uprawnieniami root.

To CVE zostało odrzucone lub wycofane przez CVE Numbering Authority.

To CVE zostało odrzucone lub wycofane przez CVE Numbering Authority.

Vvveb przed wersją 1.0.8.6 zawiera podatność SSRF, ponieważ walidacja adresów IP obsługuje tylko IPv4, a nie IPv6. Uwierzytelniony użytkownik panelu administracyjnego może wykorzystać proxy oEmbed do odczytu wewnętrznych usług i metadanych chmury, w tym danych uwierzytelniających IAM.

Vvveb przed wersją 1.0.8.6 ma wadliwy mechanizm czyszczenia ścieżek, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do kopii zapasowych na odczyt i usunięcie dowolnych plików na serwerze. Można odzyskać dane uwierzytelniające bazy danych, czytać pliki systemowe i usunąć config/db.php, co umożliwia pełne przejęcie strony.

Vvveb przed wersją 1.0.8.6 ma sanitizer HTML, który nie usuwa atrybutów obsługi zdarzeń, gdy tag zawiera znak większości w wartości atrybutu w cudzysłowie. Autor treści o niskich uprawnieniach może przechowywać złośliwy kod JavaScript, który wykonuje się w przeglądarkach odwiedzających i administratorów, co może prowadzić do przejęcia konta administratora.

DHIS2 w wersjach od 2.42.0 do przed 2.42.5.1 oraz od 2.43.0 do przed 2.43.0.1 jest podatny na zdalne wykonanie kodu (RCE) poprzez niebezpieczną deserializację Java. Problem został naprawiony w wersjach 2.42.5.1, 2.43.0.1 i 2.44.

Podatność w Johnson Controls Easy IO FG przed wersją 2.0b52 dotyczy niewłaściwego zarządzania uprawnieniami, co umożliwia atak brute force. Oznacza to, że atakujący może wielokrotnie próbować odgadnąć hasła lub inne poświadczenia.

Integracja klienta Confluent Kafka Python z HashiCorp Vault KMS ma nieprawidłową walidację certyfikatów TLS, co może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji.

Lektor 3.3.14 i 3.4.0b15 zawiera podatność CSRF w blueprint API administracyjnego, która pozwala nieuwierzytelnionym atakującym na wykonywanie operacji zmieniających stan, takich jak zapis plików, usuwanie stron, czyszczenie wyników builda i publikacja, poprzez wysyłanie żądań z złośliwych stron internetowych.