Katalog podatności CVE

Zidentyfikowano słabość w TransformerOptimus SuperAGI do wersji 0.0.14, dotyczącą funkcji Upload w pliku superagi/controllers/resources.py. Manipulacja argumentem Name prowadzi do ataku typu path traversal, który można przeprowadzić zdalnie.

Oprogramowanie ThreatSonar Anti-Ransomware opracowane przez TeamT5 zawiera podatność na dowolne usuwanie plików. Zdalni atakujący z autoryzacją i dostępem do sieci mogą wykorzystać lukę w zabezpieczeniach Path Traversal do usunięcia dowolnych plików w systemie.

Zidentyfikowano słabość w modelscope agentscope do wersji 1.0.18. Podatność dotyczy funkcji _process_audio_block w pliku src/agentscope/agent/_agent_base.py, gdzie manipulacja argumentem url może prowadzić do ataku typu server-side request forgery.

W modelach agentscope do wersji 1.0.18 odkryto lukę bezpieczeństwa, która dotyczy funkcji _get_bytes_from_web_url w pliku src/agentscope/_utils/_common.py komponentu Internal Service. Manipulacja tą funkcją może prowadzić do ataku typu server-side request forgery, który można przeprowadzić zdalnie.

Zidentyfikowano podatność w modelscope agentscope do wersji 1.0.18, która dotyczy funkcji _parse_url/prepare_image/openai_audio_to_text w pliku src/agentscope/tool/_multi_modality/_openai_tools.py. Manipulacja argumentami image_url/audio_file_url prowadzi do ataku typu server-side request forgery.

W modelach agentscope do wersji 1.0.18 zidentyfikowano podatność, która dotyczy funkcji execute_python_code/execute_shell_command w pliku src/AgentScope/tool/_coding/_python.py. Wykorzystanie tej podatności prowadzi do wstrzykiwania kodu, co może być przeprowadzone zdalnie.

W systemie zarządzania szpitalem rickxy do wersji 88a4290d957dc5bdde8a56e5ad451ad14f7f90f4 odkryto podatność. Nieznana funkcja w pliku /backend/admin/his_admin_account.php pozwala na nieograniczone przesyłanie plików poprzez manipulację argumentem ad_dpic. Atak może być przeprowadzony zdalnie.

W urządzeniach SD-330AC i AMC Manager od firmy Silex Technology, Inc. występuje podatność związana z inicjalizacją zasobu z niebezpieczną domyślną konfiguracją. Gdy urządzenie jest podłączone do sieci z fabryczną konfiguracją, istnieje możliwość skonfigurowania go z hasłem jako pustym ciągiem.

SD-330AC i AMC Manager dostarczane przez Silex Technology, Inc. zawierają podatność na przepełnienie bufora na stosie podczas przetwarzania adresów URL przekierowań. Może to prowadzić do wykonania dowolnego kodu na urządzeniu.

W langflow-ai w wersjach do 1.1.0 odkryto lukę bezpieczeństwa w funkcji create_upload_file w pliku src/backend/base/Langflow/api/v1/endpoints.py. Problem ten prowadzi do nieograniczonego przesyłania plików, co może być wykorzystane w atakach zdalnych.

Zidentyfikowano podatność w systemie zarządzania szkołą ProjectsAndPrograms do wersji 6b6fae5426044f89c08d0dd101c7fa71f9042a59. Podatność ta dotyczy nieznanego kodu pliku buslocation.php w komponencie obsługi parametrów HTTP GET, co prowadzi do możliwości wstrzyknięcia SQL.

Wykryto podatność w brikcss merge do wersji 1.3.0, która dotyczy nieokreślonej części. Manipulacja argumentem __proto__/constructor.prototype/prototype może prowadzić do nieprawidłowej kontroli modyfikacji atrybutów prototypu obiektu.

W systemie TransformerOptimus SuperAGI do wersji 0.0.14 zidentyfikowano lukę w funkcji get_vector_db_details w pliku superagi/controllers/vector_dbs.py, która dotyczy punktu końcowego zarządzania bazą danych wektorów. W wyniku manipulacji może dojść do braku uwierzytelnienia, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność w urządzeniach H3C Magic B1 do wersji 100R004, dotycząca funkcji SetMobileAPInfoById w pliku /goform/aspForm. Manipulacja argumentem param prowadzi do przepełnienia bufora, co umożliwia zdalne wykorzystanie tej podatności.

Wykryto podatność w liangliangyy DjangoBlog do wersji 2.1.0.0, dotycząca nieznanej funkcji w pliku owntracks/views.py komponentu Amap API Call Handler. Manipulacja kluczem argumentu prowadzi do użycia zakodowanego klucza kryptograficznego.

Zidentyfikowano podatność w DjangoBlog wersji do 2.1.0.0, która dotyczy nieznanej funkcji w pliku owntracks/views.py komponentu logtracks Endpoint. Manipulacja prowadzi do braku autoryzacji.

Wykryto podatność w osuuu LightPicture do wersji 1.2.2, która dotyczy nieznanego przetwarzania pliku /public/install/lp.sql w komponencie API Upload Endpoint. Manipulacja kluczem argumentu prowadzi do ujawnienia hardkodowanych poświadczeń.

Zidentyfikowano podatność w kodcloud KodExplorer do wersji 4.52, która dotyczy funkcji fileGet w pliku /app/controller/share.class.php. Manipulacja argumentem fileUrl prowadzi do niewłaściwej autoryzacji.

W podatności CVE-2026-6568 zidentyfikowano problem w kodzie kodcloud KodExplorer do wersji 4.52, który dotyczy funkcji share.class.php::initShareOld. Manipulacja argumentem ścieżki prowadzi do ataku typu path traversal, który może być przeprowadzony zdalnie.

Wykryto podatność w H3C Magic B1 do wersji 100R004, dotycząca funkcji SetAPWifiorLedInfoById w pliku /goform/aspForm. Manipulacja argumentem param prowadzi do przepełnienia bufora, co umożliwia zdalne przeprowadzenie ataku.