Katalog podatności CVE

Sterownik jądra xhunter1.sys firmy Wellbia (XIGNCODE3) w wersjach od 10.0.10011.16384 do 2023.12.7.78 zawiera podatność na eskalację uprawnień, która udostępnia interfejs poleceń IRP_MJ_WRITE, umożliwiający dowolnemu procesowi użytkownika żądanie uprawnień PROCESS_ALL_ACCESS. Podatność nie została w pełni naprawiona i pozostaje w wersji 2023.12.7.78.

HireFlow v1.2 jest podatny na błędne zarządzanie dostępem. Aplikacja nie wymusza autoryzacji na poziomie obiektów dla punktów końcowych /candidate/<id> oraz /interview/<id>, co pozwala na dostęp do danych innych użytkowników.

HireFlow w wersji 1.2 nie implementuje walidacji tokenów CSRF na żadnym z punktów końcowych zmieniających stan. Wszystkie formularze są podatne na ataki CSRF, co pozwala atakującemu na zmianę hasła ofiary, usunięcie rekordów lub wstrzyknięcie dowolnych danych.

D-Link DCS-932L w wersji v2.18.01 jest podatny na wstrzyknięcie poleceń w funkcji sub_42EF14 pliku /bin/alphapd. Manipulacja argumentem LightSensorControl prowadzi do wstrzyknięcia poleceń.

W MuuCMF T6 w wersji 1.9.4.20260115 występuje podatność na atak typu SQL Injection, która pozwala nieautoryzowanemu atakującemu na kompromitację całej bazy danych oraz uzyskanie nieautoryzowanego dostępu administracyjnego. Atakujący może również potencjalnie uzyskać zdalne wykonanie kodu, zapisując złośliwe pliki w systemie plików serwera za pomocą parametru keyword w punkcie końcowym /index/controller/Search.php.

W podatności CVE-2026-30635 w automagik-genie 2.5.27 MCP Server, atakujący mogą wykonać dowolne polecenia poprzez wstrzyknięcie komend w funkcji readTranscriptFromCommit podczas odczytu z zewnętrznego FORGE_BASE_URL.

W wersjach MLflow przed 3.9.0 występuje podatność typu Server-Side Request Forgery (SSRF). Funkcja `_create_webhook()` akceptuje parametr `url` kontrolowany przez użytkownika bez walidacji, co pozwala atakującemu na wymuszenie wysyłania żądań HTTP do wewnętrznych usług lub zewnętrznych serwerów.

Funkcja extract_name() w dnsmasq zawiera podatność na przepełnienie bufora sterty, co pozwala atakującemu na wstrzyknięcie fałszywych wpisów do pamięci podręcznej DNS. Może to prowadzić do przekierowania zapytań DNS na adres IP kontrolowany przez atakującego lub do odmowy usługi (DoS).

Grav to platforma internetowa oparta na plikach. W wersjach przed 2.0.0-rc.2, lista dozwolonych działań w sandboxie Twig pozwalała każdemu użytkownikowi z rolą admin.pages na wywołanie config.toArray() w treści strony, co skutkowało wyświetleniem całej zintegrowanej konfiguracji witryny, w tym tajemnic pluginów.

Wtyczka formularzy dla Grav umożliwia tworzenie i używanie formularzy. W wersjach przed 9.1.0 istniała możliwość nieautoryzowanego nadpisania treści strony poprzez przesyłanie plików.

Wtyczka Grav API to RESTful API dla Grav CMS, które umożliwia pełny dostęp do treści, mediów, konfiguracji i zarządzania użytkownikami. W wersjach przed 1.0.0-beta.15 występuje luka związana z niebezpiecznym bezpośrednim odniesieniem do obiektu oraz błędem logicznym, co pozwala uwierzytelnionym użytkownikom na modyfikację swoich uprawnień.

OWASP BLT przed wersją 2.1.2 zawierał podatność, w której plik .github/workflows/pre-commit-fix.yaml używał pull_request_target, co pozwalało na wykonanie kodu z forka atakującego, umożliwiając zdalne wykonanie kodu (RCE) z uprawnieniami do zapisu.

Podatność w Clerk JavaScript pozwala na nieautoryzowany dostęp do zastrzeżonych akcji, gdy funkcje has() i auth.protect() zwracają wartość true w sytuacjach, gdzie powinny zwracać false. Problem ten występuje w różnych SDK związanych z autoryzacją i może być obejściem w określonych warunkach.

W SDK Meari IoT wbudowanym w CloudEdge 5.5.0, Arenti 1.8.1 oraz białych etykietach aplikacji Android w wersji <= 1.8.x, wiele krytycznych sekretów bezpieczeństwa jest zakodowanych na stałe i współdzielonych, w tym materiały do podpisywania API, klucze do transportu haseł oraz klucze dostępu do usług.

W SDK IoT Meari, w obsłudze obrazów (libmrplayer.so), występuje podatność związana z plikami baby monitor '.jpgx3', które wykorzystują odwracalny XOR tylko na pierwszych 1024 bajtach z przewidywalnym modelem generowania kluczy.

W chmurze IoT Meari, obrazy alertów przechowywane w Alibaba OSS mogą być pobierane bez uwierzytelnienia, podpisanych URL-i lub egzekwowania daty ważności. URL-e działają jako bezpośrednie odniesienia do obiektów i pozostają ważne poza oczekiwanymi oknami operacyjnymi.

W aplikacjach klienckich Meari, które wykorzystują 'com.meari.sdk', występuje podatność umożliwiająca uzyskanie danych WAN IP dla dowolnych urządzeń. Problem wynika z błędu autoryzacji po stronie serwera w zapytaniu 'GET /openapi/device/status'.

W wdrożeniach Meari IoT Cloud MQTT Broker działających na EMQX 4.x, każdy uwierzytelniony użytkownik z niskimi uprawnieniami może subskrybować globalne tematy wildcard i otrzymywać dane telemetryczne z urządzeń, których nie posiada. Broker egzekwuje ograniczenia publikacji, ale nie stosuje odpowiednich autoryzacji subskrypcji na poziomie urządzenia.

Projekt flash-attention zawiera podatność na wstrzykiwanie kodu w swoim skrypcie treningowym, która pozwala na wykonanie dowolnego kodu Pythona poprzez złośliwe pliki konfiguracyjne.

Framework do treningu flash-attention zawiera podatność na niebezpieczną deserializację w mechanizmie ładowania punktów kontrolnych. Funkcja load_checkpoint() oraz kod ładowania punktów kontrolnych w eval.py używają torch.load() bez włączenia parametru weights_only=True, co umożliwia deserializację dowolnych obiektów Pythona.