Katalog podatności CVE

Podatność w komponencie OAuth Apache Camel polega na współdzieleniu statycznego cache tokenów przez wszystkie instancje resolvera w JVM, z kluczem opartym tylko na endpointcie tokena i client ID. Profile różniące się zakresem (scope) lub client secret, ale współdzielące endpoint i client ID, otrzymują nawzajem swoje tokeny, co może prowadzić do użycia tokena o szerszych uprawnieniach lub przeznaczonego dla innej usługi.

Wersje Mattermost 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie ograniczają ilości tekstu wyodrębnianego z przesłanego pliku PDF. Uwierzytelniony użytkownik może wyczerpać pamięć serwera i spowodować odmowę usługi za pomocą spreparowanego pliku PDF, którego skompresowany strumień treści rozpakowuje się do bardzo dużej ilości tekstu.

Wersje Mattermost 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie stosują limitów alokacji w ścieżkach dekodowania ciągów bajtów w dekoderze msgpack WebSocket. Uwierzytelniony zdalny atakujący może spowodować nadmierną alokację pamięci serwera za pomocą spreparowanej binarnej ramki WebSocket deklarującej długość ładunku Bin32 do 4 294 967 295 bajtów.

W Infinispan Operator dla Red Hat Data Grid wykryto błąd polegający na przekazywaniu haseł keystore i truststore jako jawnych argumentów wiersza poleceń kontenera Gossip Router, gdy włączony jest TLS cross-site (xsite). Argumenty kontenera są przechowywane w specyfikacji Pod i widoczne dla każdego podmiotu z uprawnieniem get pods w przestrzeni nazw, dla procesów na poziomie węzła przez /proc/<pid>/cmdline oraz często trafiają do logów audytowych i zdarzeń.

Interfejs webowy boneIO Black nie posiada odpowiednich zabezpieczeń przed clickjackingiem. Zdalny atakujący może osadzić panel sterowania w iframe na złośliwej stronie i nakłonić uwierzytelnionego użytkownika w sieci wewnętrznej do klikania przycisków aktywujących przekaźniki, otwierających bramy lub sterujących roletami. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego, odwiedzając złośliwą stronę.

boneIO Black wyłącza uwierzytelnianie dla kilku punktów końcowych API. Nieuwierzytelniony zdalny atakujący w sieci lokalnej może pobrać logi systemowe, wersję firmware, numer seryjny, nazwę użytkownika MQTT, listę plików konfiguracyjnych oraz dokumentację API. Dane te ułatwiają rekonesans i umożliwiają ukierunkowane ataki na urządzenie.

boneIO black_debian_images przechowuje plik haseł brokera Mosquitto MQTT w /etc/mosquitto/passwd z uprawnieniami umożliwiającymi odczyt wszystkim użytkownikom. Każdy lokalny użytkownik może odczytać skróty haseł wszystkich kont MQTT i przeprowadzić ataki słownikowe w trybie offline.

boneIO Black jest podatny na Cross-Site Request Forgery (CSRF) na wszystkich punktach końcowych API zmieniających stan, ponieważ nie posiada tokenów CSRF i nie waliduje nagłówków Origin ani Referer. Zdalny atakujący może spreparować złośliwą stronę, która po odwiedzeniu przez użytkownika w sieci wewnętrznej wysyła żądania cross-origin do urządzenia, umożliwiając ponowne uruchomienie kontrolera, przełączanie przekaźników, sterowanie bramami i roletami lub wyłączenie urządzenia. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego.

boneIO Black przechowuje hasła, w tym hasło brokera MQTT i panelu webowego, w postaci jawnej. Endpoint GET /api/config zwraca pełną konfigurację z ujawnionymi hasłami usług podrzędnych, a każdy uwierzytelniony użytkownik może je odczytać. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) nieuwierzytelniony atakujący w tej samej sieci lokalnej może pobrać wszystkie hasła.

Z powodu nieprawidłowych kontroli uprawnień w Lobster_pro atakujący mogą korzystać z endpointów, które powinny wymagać uprawnień administracyjnych. Problem dotyczy wersji 4.12.12-LTS i potencjalnie innych wersji przed 25.1.3.

W gssproxy wykryto podatność polegającą na dereferencji wskaźnika NULL. Gdy odebrane zostanie żądanie GSSX_INIT_SEC_CONTEXT bez pola target_name, demon dereferencjonuje wskaźnik NULL i ulega awarii. Żądanie nie wymaga uwierzytelnienia, więc każdy lokalny użytkownik może wywołać awarię demona przez gniazdo Unix, a demon nie restartuje się automatycznie, co powoduje trwałą odmowę usługi.

W iFlytek astron-agent do wersji 1.1.2 zidentyfikowano podatność w funkcji FileInfoV2Service.listKnowledgeByPage pliku FileInfoV2Service.java, w komponencie Console Knowledge-List Endpoint. Manipulacja argumentem space-id prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

W Kameleo do wersji 5.3.1 wykryto podatność w nieznanym kodzie pliku /general/user-info, w komponencie Local API. Manipulacja prowadzi do ujawnienia informacji, a atak można przeprowadzić zdalnie. Producent nie odpowiedział na zgłoszenie.

MongoDB Shell (mongosh) korzysta z Node.js jako środowiska uruchomieniowego, które posiada własny magazyn głównych certyfikatów TLS. Magazyn ten zawiera odzyskiwalne certyfikaty pośredniego CA eMudhra. Problem dotyczy mongosh w wersjach przed 2.14.0 i można go rozwiązać, aktualizując do mongosh 2.14.0, które zawiera Node.js 24.22.1 lub nowszy.

Apache SIS w wersjach od 0.7 do 1.6 otwiera pliki, do których odwołują się przetwarzane dane, niezależnie od ich ścieżki, co może pozwolić na wskazanie pliku lokalnego. Dotyczy to formatów GML z atrybutami xlink:href, WKT z elementami parametrów siatek przesunięć datum oraz scen Landsat z ścieżkami do plików GeoTIFF. Odczyt zatrzymuje się na pierwszym błędzie parsowania, co czyni wyciek danych mało prawdopodobnym.

W module przechowywania SQL Apache SIS podczas sortowania strumienia obiektów klauzula jest kopiowana po ORDER BY bez cytowania znaku identyfikatora. Spreparowana klauzula sortowania może wstrzyknąć SQL do zapytania. Problem dotyczy modułu sql-storage w wersjach od 1.0 do 1.6; inne moduły, takie jak sis-referencing, nie są dotknięte.

Wersje Mattermost <=11.9, 11.1.9, 11.5.8 i 11.10.7.0 nie sprawdzają długości linii czatu Zoom przed jej przycięciem. Uwierzytelniony atakujący może doprowadzić do awarii wtyczki Agents poprzez streszczanie transkrypcji czatu Zoom zawierającej krótkie linie kontynuacji.

Aplikacja Frappe CRM przed wersją 1.89.1 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami czytać rekordy CRM Lead, do których nie mają dostępu, poprzez API get_contact_by_phone_number wykonujące surowe zapytania do bazy bez sprawdzania uprawnień. Atakujący może podać znany numer telefonu, aby uzyskać pełne dane leada.

W bibliotece mcuxsdk-middleware-usb (NXP MCUXpresso SDK) przed wersją 2.13.0 występuje przepełnienie bufora na stercie w sterownikach klas hosta audio, video i CDC, które ufają wartościom bNumEndpoints i bLength dostarczonym przez urządzenie USB. Złośliwe urządzenie USB może przesłać spreparowane deskryptory zapisujące wpisy endpointów poza tablicę epList o stałym rozmiarze, uszkadzając pamięć sterty.

W bibliotece mcuxsdk-middleware-usb (NXP MCUXpresso SDK) przed wersją 2.13.0 występuje luka polegająca na odczycie poza zakresem w funkcji USB_DeviceCdcRndisSetCommand(), która ufa wartości informationBufferOffset dostarczonej przez hosta. Złośliwy host USB może wysłać komunikaty RNDIS SET dla OID_GEN_CURRENT_PACKET_FILTER lub OID_802_3_MULTICAST_LIST z offsetem poza zakresem, aby odczytać i ujawnić pamięć urządzenia.