Katalog podatności CVE

OpenProject to aplikacja do zarządzania projektami typu open-source. W wersjach przed 17.3.0, weryfikacja 2FA OTP w akcji confirm_otp modułu uwierzytelniania dwuskładnikowego nie ma ograniczeń dotyczących liczby prób, mechanizmu blokady ani śledzenia nieudanych prób, co umożliwia atakującym łatwe obejście 2FA.

Weblate to narzędzie do lokalizacji oparte na sieci. W wersjach przed 5.17, kopia zapasowa projektu nie filtrowała plików konfiguracyjnych Git i Mercurial, co mogło prowadzić do zdalnego wykonania kodu w określonych okolicznościach. Problem został naprawiony w wersji 5.17.

Wersje Velociraptor przed 0.76.3 zawierają podatność w wtyczce query(), która umożliwia dostęp do wszystkich organizacji za pomocą aktualnego tokena ACL użytkownika. Użytkownik z autoryzowanym dostępem w jednej organizacji może wykonywać zapytania VQL na innych organizacjach, do których nie powinien mieć dostępu.

Git dla systemu Windows to port Gita na system Windows. Wersje przed 2.53.0.windows.3 nie mają zabezpieczeń, które uniemożliwiają atakującym uzyskanie hasha NTLM użytkownika.

W Plisio Accept Cryptocurrencies występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.0.5.

W składniku download.php w SAC-NFe v2.0.02 występuje problem z obsługą plików, który umożliwia atakującym wykonanie ataku typu directory traversal i odczytanie dowolnych plików z systemu za pomocą odpowiednio skonstruowanego żądania GET.

Wersja 1.5.0 i wcześniejsze Slah CMS zawierają podatność na wstrzyknięcie SQL poprzez parametr id w punkcie końcowym vereador_ver.php.

Błąd w kontroli dostępu w komponencie config.php w wersji Slah v1.5.0 i wcześniejszych umożliwia nieautoryzowanym atakującym dostęp do wrażliwych informacji, w tym aktywnych poświadczeń sesji.

W podatności CVE-2025-63029 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WC Lovers WCFM Marketplace. Problem ten dotyczy wersji WCFM Marketplace od n/a do 3.7.1 włącznie.

Agent Zero w wersji 0.9.8 zawiera podatność na zdalne wykonanie kodu w funkcji konfiguracji zewnętrznych serwerów MCP. Aplikacja pozwala użytkownikom na definiowanie serwerów MCP za pomocą konfiguracji JSON, która zawiera dowolne wartości poleceń i argumentów, które są wykonywane bez odpowiedniej walidacji.

LangChain-ChatChat w wersji 0.3.1 zawiera podatność na zdalne wykonanie kodu w konfiguracji serwera MCP STDIO oraz obsłudze wykonania. Zdalny atakujący może uzyskać dostęp do publicznie wystawionego interfejsu zarządzania MCP i skonfigurować serwer MCP STDIO z poleceniami i argumentami kontrolowanymi przez atakującego.

Jaaz w wersji 1.0.30 zawiera podatność na zdalne wykonanie kodu w obsłudze poleceń MCP STDIO. Zdalny atakujący może wysłać spreparowane żądania sieciowe do aplikacji Jaaz, co prowadzi do wykonania poleceń kontrolowanych przez atakującego na serwerze.

W Windsurf 1.9544.26 występuje podatność na wstrzykiwanie poleceń, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń na systemie ofiary. Atakujący mogą wykorzystać złośliwe instrukcje w przetwarzanym przez Windsurf kontrolowanym przez nich kodzie HTML, co prowadzi do nieautoryzowanej modyfikacji lokalnej konfiguracji MCP.

W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) poprzez plik /controllers/Installer.php oraz funkcję add_git_submodule.

W aplikacji Splunk MCP Server w wersjach poniżej 1.0.3, użytkownik posiadający rolę z dostępem do indeksu `_internal` lub posiadający wysokie uprawnienia `mcp_tool_admin` mógł zobaczyć sesje użytkowników oraz tokeny autoryzacyjne w postaci niezaszyfrowanej. Wymaga to lokalnego dostępu do plików dziennika lub administracyjnego dostępu do wewnętrznych indeksów.

W wersjach Splunk Enterprise poniżej 10.2.1, 10.0.5, 9.4.10 i 9.3.11 oraz Splunk Cloud Platform poniżej 10.4.2603.0, 10.3.2512.5, 10.2.2510.9, 10.1.2507.19, 10.0.2503.13 i 9.3.2411.127, użytkownik o niskich uprawnieniach, który nie posiada ról `admin` lub `power`, może potencjalnie wykonać zdalne polecenie (RCE) poprzez przesłanie złośliwego pliku do katalogu `$SPLUNK_HOME/var/run/splunk/apptemp` z powodu niewłaściwego zarządzania i niewystarczającej izolacji plików tymczasowych w tym katalogu.

Nordic Semiconductor IronSide SE dla nRF54H20 przed wersją 23.0.2+17 ma problem z złożonością algorytmiczną.

Niektóre urządzenia HP DeskJet All in One są podatne na zdalne wykonanie kodu z powodu przepełnienia bufora podczas obsługi specjalnie spreparowanych żądań skanowania WSD. Problem dotyczy protokołu WSD Scan używanego w sieciach Windows.

HP System Optimizer może być podatny na eskalację uprawnień. Firma HP wydaje aktualizację w celu złagodzenia tej potencjalnej podatności.

W commitcie e40795 projektu CentSDR odkryto przepełnienie stosu w funkcji 'Thread1'.