Katalog podatności CVE

Podatność use-after-free w Solid Edge SE2025 i SE2026 podczas analizy specjalnie spreparowanych plików DFT. Może pozwolić atakującemu na wykonanie kodu w kontekście bieżącego procesu.

Podatność zapisu poza zakresem pamięci w Solid Edge SE2025 i SE2026 podczas analizy specjalnie spreparowanych plików DFT. Może pozwolić atakującemu na wykonanie kodu w kontekście bieżącego procesu.

Podatność odczytu poza zakresem pamięci w Solid Edge SE2025 i SE2026 podczas analizy specjalnie spreparowanych plików DFT. Może pozwolić atakującemu na wykonanie kodu w kontekście bieżącego procesu.

Podatność na wstrzykiwanie SQL w Koha (do wersji 24.11.17, 25.05.12, 25.11.06, 26.05.01) pozwala uwierzytelnionemu personelowi z uprawnieniem acquisition => order_receive na odczyt dowolnych danych z bazy przez parametr orderby w acqui/parcels.pl. Parametr jest przekazywany do C4::Acquisition::GetInvoices, gdzie kierunek sortowania jest konkatenowany do klauzuli ORDER BY bez walidacji. Atak jest ślepy (czasowy) i umożliwia wyodrębnienie danych osobowych czytelników, hashy haseł personelu i sekretów 2FA.

Podatność na trwałe wstrzykiwanie SQL w Koha (do wersji 24.11.17, 25.05.12, 25.11.06, 26.05.01) pozwala uwierzytelnionemu personelowi z uprawnieniem tools => items_batchmod na odczyt dowolnych danych z bazy przez przechowywanie ładunku SQL w wartości agefield reguły automatycznej modyfikacji przedmiotów. Wartość jest przechowywana bez zmian i interpolowana do zapytania SQL w C4::Items::ToggleNewStatus podczas wykonywania zaplanowanego zadania cron. Atak umożliwia odczyt całej bazy Koha, w tym danych osobowych czytelników i hashy haseł personelu.

Podatność na podrabianie żądań po stronie serwera (SSRF) w Pinry do wersji 2.1.13 pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie przez serwer żądań HTTP do dowolnych wewnętrznych lub zewnętrznych hostów za pomocą funkcji pin-from-URL. Funkcja przekazuje adres URL bezpośrednio do requests.get() bez walidacji hosta lub IP, a ALLOW_NEW_REGISTRATIONS domyślnie ma wartość true, co umożliwia anonimowe wywołanie. Atakujący może dotrzeć do wewnętrznych usług lub punktów końcowych metadanych chmury.

Brak uwierzytelnienia w Swing Music 3.0.0 pozwala nieuwierzytelnionym zdalnym atakującym na tworzenie dowolnych kont użytkowników przez endpoint POST /auth/profile/create. Endpoint jest wyłączony z weryfikacji JWT, co umożliwia nieuwierzytelnione tworzenie kont. Atakujący może zarejestrować konto i użyć go do dostępu do chronionych funkcji serwera.

Podatność na przechodzenie po ścieżkach w AsyncFuncAI deepwiki-open do commita 16f35a0 pozwala nieuwierzytelnionym zdalnym atakującym na uzyskanie list katalogów dla dowolnych ścieżek systemu plików przez endpoint struktury lokalnego repozytorium. Endpoint przyjmuje parametr ścieżki bezwzględnej i zwraca listę katalogów bez uwierzytelnienia, ponieważ WIKI_AUTH_MODE domyślnie ma wartość false. Atakujący może wyliczyć zawartość wrażliwych katalogów na hoście.

Podatność w CSZ CMS 1.3.2 pozwala nieuwierzytelnionym zdalnym atakującym na odczyt wszystkich zgłoszeń formularzy, w tym danych osobowych, przez przeglądarkę zgłoszeń w panelu administracyjnym. Brakuje sprawdzenia uwierzytelnienia, a pomocnik uwierzytelniania zawodzi w trybie otwartym.

Podatność w Idurar IDURAR ERP CRM 4.1.0 pozwala nieuwierzytelnionym atakującym na pobieranie plików PDF faktur zawierających dane osobowe klientów przez router /download. Router jest publicznie dostępny, a atakujący może enumerować MongoDB ObjectIds, aby pobrać dowolną fakturę.

Podatność w Ghost Foundation Ghost 5.x pozwala uwierzytelnionym użytkownikom z rolą Autora na usuwanie postów należących do innych użytkowników. Brakuje odpowiedniej gałęzi w sprawdzaniu uprawnień, co powoduje, że autoryzacja przepuszcza usunięcie.

Podatność w BadChoice Handesk (stan na 2026-07-10) pozwala każdemu uwierzytelnionemu agentowi na aktualizację zgłoszeń należących do innych zespołów przez endpoint TicketsController@update. Brakuje wywołania authorize() i sprawdzenia własności zespołu.

Podatność w BadChoice Handesk (stan na 2026-07-10) pozwala każdemu uwierzytelnionemu agentowi na nadpisanie rekordów leadów należących do innych zespołów przez endpoint LeadsController@update. Brakuje autoryzacji, a model Lead ma puste guarded, co umożliwia masowe przypisanie wszystkich kolumn.

Podatność SQL injection w Pimcore admin-ui-classic-bundle do wersji 2.3 pozwala uwierzytelnionym użytkownikom backendu na wykonanie dowolnego SQL przez filtr kolumny id w gridzie DataObject. Wartość filtra jest konkatenowana bezpośrednio do klauzuli WHERE bez parametryzacji.

Podatność w Peppermint Lab Peppermint (do commita ba6e217) pozwala każdemu uwierzytelnionemu nieadministracyjnemu użytkownikowi na rekonfigurację globalnych ustawień OIDC/SSO przez niezabezpieczony endpoint. Brakuje sprawdzenia roli administratora.

Podatność SQL injection w CiviCRM do wersji 6.18.alpha1 pozwala uwierzytelnionemu personelowi na odczyt całej bazy danych przez klauzulę RLIKE w wyszukiwaniu kontaktów. Wartość użytkownika jest konkatenowana do zapytania SQL bez sanityzacji.

Podatność nieograniczonego przesyłania plików w Cockpit CMS 2.6.0 pozwala uwierzytelnionym użytkownikom na przesyłanie plików o dowolnym rozszerzeniu, w tym skryptów PHP, przez endpoint przesyłania zasobów. Konfiguracja allowed_uploads domyślnie używa wildcarda, a pliki są przechowywane w katalogu dostępnym z sieci.

Podatność zdalnego wykonania kodu w ZoneMinder 1.39.17 pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń systemu operacyjnego przez wykorzystanie wadliwego sprawdzania uprawnień w klasie Filter. Metody canEdit() i canDelete() wywołują nieistniejące metody na klasie ZM\User, co powoduje, że PHP __call() zwraca wartość prawdziwą, omijając sprawdzenie uprawnień.

Podatność złamanej kontroli dostępu w Peppermint do commit ba6e217 wynika z domyślnej wartości false flagi Config.roles_active, co powoduje, że wszystkie sprawdzenia uprawnień dla ticketów, klientów i użytkowników są ignorowane w domyślnych instalacjach. Uwierzytelnieni użytkownicy mogą ominąć kontrolę własności i uprawnień administracyjnych. Atakujący z dowolnym kontem użytkownika może odczytywać, modyfikować lub usuwać tickety, klientów i użytkowników należących do innych kont.

Podatność typu server-side request forgery w Dub (stan na 2026-07-10) pozwala nieuwierzytelnionym zdalnym atakującym na zmuszenie serwera do wysyłania żądań HTTP do dowolnych wewnętrznych lub zewnętrznych hostów przez endpoint metatags edge. Endpoint pobiera dowolny URL podany przez wywołującego bez listy zablokowanych i bez wymogu uwierzytelnienia. Atakujący może użyć tego do skanowania wewnętrznych usług lub eksfiltracji danych z endpointów metadanych chmury.