Katalog podatności CVE

Wersje Apache::API::Password do 0.5.2 dla Perla mogą generować niebezpieczne wartości losowe dla soli. Metody _make_salt i _make_salt_bcrypt próbują załadować odpowiednie moduły do generowania losowych bajtów, ale w przypadku ich braku używają funkcji rand, która nie jest odpowiednia do zastosowań kryptograficznych.

W MaraDNS w wersji 3.5.0036 występuje podatność, która pozwala atakującym na wyczerpanie slotów połączeń poprzez strefę, której adres serwera nazw autorytatywnego nie może zostać rozwiązany.

Zidentyfikowano podatność (CWE-427) w aplikacji zarządzającej zasilaczami UPS, która pozwala na niewłaściwe uprawnienia w katalogu instalacyjnym. Umożliwia to złośliwemu aktorowi umieszczenie biblioteki DLL, która jest następnie wykonywana z uprawnieniami administratora.

W projekcie XQUIC występuje podatność związana z niewłaściwą walidacją danych wejściowych oraz niewłaściwą weryfikacją podpisu kryptograficznego. Problem ten dotyczy implementacji protokołu QUIC oraz modułów obsługi pakietów i ramek STREAM, co umożliwia manipulację protokołem.

W radare2 przed wersją 6.1.4 występuje podatność na wstrzykiwanie poleceń w funkcji print_gvars() parsera PDB, która pozwala atakującym na wykonywanie dowolnych poleceń poprzez osadzenie bajtu nowej linii w nazwie nagłówka sekcji PE. Atakujący mogą stworzyć złośliwy plik PDB z odpowiednio skonstruowanymi nazwami sekcji, aby wstrzyknąć polecenia r2, które są wykonywane podczas przetwarzania pliku przez polecenie idp.

Platforma XWiki to ogólna platforma wiki oferująca usługi uruchomieniowe dla aplikacji zbudowanych na jej podstawie. Wersje 1.8-rc-1, 17.0.0-rc-1 oraz 17.5.0-rc-1 i wcześniejsze zawierają podatność na wyczerpanie zasobów w punktach końcowych REST API, co może prowadzić do wyczerpania dostępnych zasobów serwera na dużych wiki.

Zarf to menedżer pakietów dla Kubernetes, który w wersjach od 0.23.0 do 0.74.1 zawiera podatność umożliwiającą zapisanie plików w dowolnej lokalizacji. Podatność ta występuje w podkomendach zarf package inspect sbom oraz zarf package inspect documentation, gdzie ścieżki plików są konstruowane na podstawie niezweryfikowanego pola Metadata.Name.

Serendipity to silnik blogowy oparty na PHP. W wersjach 2.6-beta2 i wcześniejszych funkcjonalność wysyłania e-maili w pliku include/functions.inc.php wstawia $_SERVER['HTTP_HOST'] bez walidacji do nagłówka Message-ID SMTP, co umożliwia atakującym wstrzykiwanie dowolnych nagłówków SMTP do wychodzących e-maili.

mcp-server-kubernetes to serwer Model Context Protocol do zarządzania klastrami Kubernetes. W wersjach 3.4.0 i wcześniejszych występuje podatność na wstrzykiwanie argumentów w narzędziu port_forward, gdzie polecenie kubectl jest konstruowane poprzez konkatenację łańcuchów z danymi kontrolowanymi przez użytkownika, co pozwala na wstrzykiwanie dowolnych flag kubectl.

Podatność w Fastify umożliwia ominięcie walidacji treści żądania poprzez dodanie spacji na początku nagłówka Content-Type. Błąd został wprowadzony w wersji 5.3.2 podczas naprawy CVE-2025-32442.

Wtyczka Age Verification & Identity Verification by Token of Trust dla WordPress jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'description' we wszystkich wersjach do 3.32.3 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Przykład example_xcom zawarty w dokumentacji Airflow implementował niebezpieczny wzorzec odczytu wartości z XCom, co mogło być wykorzystane przez użytkowników interfejsu do wykonania dowolnego kodu na pracowniku. Jest to podatność o niskim stopniu zagrożenia, ponieważ użytkownicy interfejsu są już wysoko zaufani.

Podatność typu out-of-bounds write w Fortinet FortiWeb w wersjach 8.0.0-8.0.3, 7.6.0-7.6.6, 7.4.0-7.4.11 umożliwia zdalnemu uprzywilejowanemu atakującemu wykonanie dowolnego kodu lub poleceń poprzez spreparowane żądania HTTP.

BoidCMS w wersjach przed 2.1.3 zawiera krytyczną podatność na lokalne dołączanie plików (LFI) przez parametr tpl. Parametr ten jest przekazywany do require_once() bez walidacji ścieżki. Uwierzytelniony administrator może użyć sekwencji ../, aby dołączyć dowolne pliki, w tym pliki z katalogu media/. W połączeniu z funkcją przesyłania plików, podatność umożliwia zdalne wykonanie kodu (RCE).

nanobot, osobisty asystent AI, w wersjach przed 0.1.5 zawiera podatność na Cross-Site WebSocket Hijacking (CSWSH) w serwerze WebSocket mostu. Serwer nie sprawdza nagłówka Origin podczas uzgadniania WebSocket, a uwierzytelnianie tokenem jest domyślnie wyłączone. Każda strona internetowa odwiedzona przez użytkownika uruchamiającego most może nawiązać połączenie WebSocket i uzyskać pełny dostęp do API mostu, co pozwala na przejęcie sesji WhatsApp, odczytywanie wiadomości, kradzież kodów QR uwierzytelniania i wysyłanie wiadomości w imieniu użytkownika.

W Jellyfin przed wersją 10.11.7 endpoint LiveTV M3U tuner (POST /LiveTv/TunerHosts) nie waliduje adresu URL tunera, umożliwiając odczyt lokalnych plików i ataki SSRF. Podatność może być wykorzystana przez uwierzytelnionego użytkownika do eskalacji uprawnień do administratora.

Podman w wersjach 4.8.0 do 5.8.1 zawiera podatność na wstrzykiwanie poleceń w backendzie HyperV, gdzie ścieżka obrazu VM jest wstawiana do stringa PowerShell bez sanityzacji, umożliwiając wykonanie dowolnych poleceń PowerShell z uprawnieniami procesu Podman (na Windows SYSTEM).

W bibliotece libsixel w wersjach 1.8.7 i starszych, zbudowanej z opcją --with-gdk-pixbuf2, występuje podatność use-after-free w funkcji load_with_gdkpixbuf(). Ścieżka czyszczenia ręcznie zwalnia obiekt sixel_frame_t bez uwzględnienia licznika referencji, co prowadzi do wiszącego wskaźnika. Atakujący może dostarczyć spreparowany obraz, powodując ujawnienie informacji, uszkodzenie pamięci lub wykonanie kodu.

libsixel to implementacja kodera/dekodera SIXEL, która w wersjach 1.8.7 i wcześniejszych zawiera podatność typu use-after-free w funkcji sixel_encoder_encode_bytes(). Problem wynika z bezpośredniego przechowywania wskaźnika na bufor pikseli w frame->pixels bez wykonania defensywnej kopii, co prowadzi do niebezpiecznego dostępu po zwolnieniu pamięci.

Wersje Adobe Framemaker 2022.8 i wcześniejsze są podatne na lukę typu 'Type Confusion', która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.