Katalog podatności CVE

W Dokploy w wersji 0.19.0 i wcześniejszych, middleware protectedProcedure tylko weryfikuje uwierzytelnienie użytkownika, ale nie wymusza zakresu organizacji. Każdy endpoint musi indywidualnie weryfikować, czy zasób należy do organizacji użytkownika. Dotyczy to wielu endpointów w różnych plikach.

Macrozheng mall do wersji 1.0.3 zawiera podatność na ominięcie autoryzacji w komponencie Super Admin Password Handler w pliku /admin/update/. Atak może być przeprowadzony zdalnie.

Bolt CMS do wersji 3.7.0 włącznie zawiera podatność na wstrzykiwanie SQL w parametrze 'order' na stronach listowania treści. Uwierzytelniony atakujący z niskimi uprawnieniami może wykorzystać ten błąd przez komponent OrderDirective, co pozwala na wyodrębnienie wrażliwych informacji.

SourceCodester Doctor Appointment System 1.0 jest podatny na atak Cross Site Scripting (XSS) z powodu nieprawidłowego przetwarzania danych wejściowych użytkownika w funkcji rejestracji w pliku register.php.

OpenClaw przed wersją 2026.4.29 zawiera lukę w polityce SSRF w trasach debugowania i eksportu przeglądarki, która pozwala na ponowne użycie już otwartych zablokowanych kart. Atakujący z dostępem do tych tras mogą ominąć politykę SSRF sieci prywatnej, wykorzystując zablokowane karty do eksportu lub inspekcji treści, które powinny być chronione.

OpenClaw przed wersją 2026.4.29 zawiera podatność polegającą na obejściu polityki w komendach administracyjnych QQBot. Uwierzytelnieni nadawcy mogą pominąć sprawdzenia polityk DM-only i allowFrom, co pozwala na kierowanie komend administracyjnych z nieautoryzowanych źródeł lub kontekstów, wykonując zablokowane wcześniej działania.

QuickCMS pozwala na ustawienie identyfikatora sesji użytkownika przed uwierzytelnieniem. Wartość tego identyfikatora pozostaje taka sama po uwierzytelnieniu. Umożliwia to atakującemu ustalenie identyfikatora sesji dla ofiary, a następnie przejęcie uwierzytelnionej sesji.

OpenClaw przed wersją 2026.5.12 zawiera podatność eskalacji uprawnień w zatwierdzaniu wtyczek Slack. Użytkownicy z ograniczonymi uprawnieniami exec mogą ominąć podział zatwierdzeń i zatwierdzać działania wtyczek poza konfiguracją operatora.

W ACM/MCE assisted-service, gdy walidacja pull-secret zawiedzie, surowe dane pull-secret są zapisywane w polu `InfraEnv.status.conditions[].message`. Użytkownik z domyślną rolą `view` nie może bezpośrednio czytać Secretów, ale może odczytać obiekty InfraEnv i odzyskać dane `.dockerconfigjson` z statusu.

W narzędziu XX-Net w wersji 5.16.6 występuje podatność w parsowaniu ramek WebSocket w funkcji WebSocket_receive_worker. Serwer zawsze odczytuje 4 bajty jako klucz maskowania, niezależnie od flagi MASK, co prowadzi do uszkodzenia danych i braku walidacji innych pól ramki.

W routerze TRENDnet TEW-432BRP w wersji 3.10B20 odkryto podatność na przepełnienie bufora stosu w funkcji formSetPortTr pliku /goform/formSetPortTr. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem special_name. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie naprawiany.

PHP-SHOP 1.0 zawiera lukę Cross-Site Request Forgery (CSRF), która pozwala nieuwierzytelnionym atakującym na dodawanie kont administracyjnych poprzez tworzenie złośliwych formularzy HTML. Atakujący mogą nakłonić uwierzytelnionego administratora do odwiedzenia strony z ukrytym formularzem, który automatycznie wysyła żądania POST do users.php z parametrami ustawiającymi uprawnienia na admin.

Navigate CMS 2.8.5 zawiera podatność na przechodzenie po ścieżkach (path traversal), która pozwala uwierzytelnionym użytkownikom na pobieranie dowolnych plików poprzez wstrzyknięcie sekwencji przechodzenia po katalogach w parametrze id. Atakujący mogą wysyłać żądania GET do navigate_download.php z ładunkiem typu ../../../cfg/globals.php, aby uzyskać dostęp do poufnych plików konfiguracyjnych i systemowych poza zamierzonym katalogiem.

HaPe PKH 1.1 zawiera podatność na Cross‑Site Request Forgery (CSRF), która pozwala atakującym na zmianę haseł administratora poprzez wysłanie sfałszowanych żądań do endpointu aktualizacji użytkownika. Atakujący mogą tworzyć złośliwe formularze kierowane do skryptu aksi_user.php z parametrami id_user, password i level, aby zmodyfikować dane logowania administratora bez autoryzacji.

Wikidforum 2.20 zawiera podatność na XSS, która pozwala uwierzytelnionym atakującym wstrzykiwać złośliwe skrypty poprzez parametr reply_text w endpointcie rpc.php. Skrypty wykonują się w przeglądarkach innych użytkowników podczas przeglądania odpowiedzi na forum.

Mermaid, narzędzie JavaScript do tworzenia diagramów, zawiera podatność na wstrzykiwanie CSS w domyślnej konfiguracji przed wersjami 10.9.6 i 11.15.0. Poprzez opcje fontFamily, themeCSS i altFontFamily można wstrzyknąć CSS, który omija automatyczne zakreskowanie #mermaid-xxx, umożliwiając modyfikację wyglądu strony i eksfiltrację atrybutów DOM za pomocą selektorów :has().

Mermaid przed wersjami 10.9.6 i 11.15.0 jest podatny na atak odmowy usługi podczas renderowania wykresów Gantta, jeśli użyto atrybutu excludes do wykluczenia wszystkich dat.

W motocyklu Indian Motorcycle Scout Bobber + Tech model 2025, nieprawidłowe obsługiwanie warunków fizycznych w sterowaniu wyłączaniem silnika pozwala fizycznemu atakującemu z dostępem do wiązki przewodów modułu WCM na ominięcie zabezpieczenia antykradzieżowego. Odbiorczy ECU nie rozróżnia aktywnego impulsu wyłączenia od stanu otwartego obwodu; przerwanie odpowiednich przewodów pozostawia motocykl w pełni sprawnym, nawet jeśli WCM nie zweryfikował kodu PIN.

W motocyklu Indian Motorcycle Scout Bobber + Tech (model 2025) występuje naruszenie oczekiwanego zachowania w sieci wewnątrz pojazdu. Atakujący z dostępem do sieci sąsiedniej może ominąć zabezpieczenie antykradzieżowe, zmuszając moduł Wireless Control Module (WCM) do stanu CAN bus-off. Poprzez wstrzyknięcie ramek błędów CAN, atakujący powoduje, że WCM przestaje wysyłać wszystkie komunikaty, w tym komendę wyłączenia silnika. Inne ECU nie interpretują ciszy WCM jako zdarzenia bezpieczeństwa i kontynuują normalną pracę, umożliwiając uruchomienie motocykla bez odblokowania immobilizera.

W platformie WWBN AVideo w wersji 29.0 i wcześniejszych, endpoint plugin/AuthorizeNet/processPayment.json.php dodaje środki do portfela zalogowanego użytkownika na podstawie parametru amount przesłanego przez atakującego, bez walidacji transakcji Authorize.Net. Pozwala to każdemu zalogowanemu użytkownikowi na dodanie dowolnych środków do swojego portfela AVideo.