Katalog podatności CVE

W CodeCanyon Rocket LMS do wersji 2.2 wykryto podatność. Dotyczy ona nieznanej funkcji komponentu Student Profile Image Upload. Manipulacja prowadzi do cross-site scripting. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Dostawca został wcześnie poinformowany, ale nie odpowiedział.

W projekcie mwasikz robo-cafe-rms do wersji 228c44a02823f04e85db32b7137809a2856148fc wykryto podatność. Dotyczy ona nieznanej funkcji w pliku frontend/update-account.php komponentu Edit Profile Feature. Manipulacja argumentami Name/Address/City prowadzi do cross-site scripting. Atak może być wykonany zdalnie. Exploit został upubliczniony i może być wykorzystany. Projekt stosuje podejście ciągłego wydawania, więc szczegóły wersji nie są podane. Dostawca został wcześnie poinformowany, ale nie odpowiedział.

W mwasikz robo-cafe-rms do wersji 228c44a02823f04e85db32b7137809a2856148fc wykryto podatność w nieznanej funkcji pliku manage-food.php. Manipulacja prowadzi do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie. Exploit został ujawniony publicznie i może być wykorzystany; produkt działa w modelu rolling release, więc nie ma szczegółów wersji; producent nie odpowiedział na zgłoszenie.

W owen2345 Camaleon CMS do wersji 2.9.2 wykryto wadę w funkcji crop w pliku app/controllers/camaleon_cms/admin/media_controller.rb w komponencie Media Crop Handler. Manipulacja argumentem saved_avatar powoduje obejście autoryzacji, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; zaleca się aktualizację do wersji 2.9.3 (poprawka c143e145caa600947e70a240e87f2fed889149d3).

Separacja przestrzeni nazw identyfikatorów procesów w Flatpak nie zapobiega temu, że wywołania kill(0, signal) lub killpg(0, signal) z aplikacji w sandboxie docierają do procesów poza sandboxem, które dzielą tę samą grupę procesów. Złośliwa lub przejęta aplikacja Flatpak może to wykorzystać do wywołania odmowy usługi poprzez zakończenie procesów poza sandboxem, takich jak powłoka pulpitu.

Podatność polegająca na przechodzeniu poza katalog (path traversal) w Flatpak podczas obsługi katalogu files/etc podczas wdrażania aplikacji pozwala złośliwej aplikacji Flatpak na wyczyszczenie lub zastąpienie niektórych plików systemowych (takich jak passwd, group, machine-id lub resolv.conf) symlinkiem podczas instalacji lub aktualizacji. W instalacjach systemowych zapis jest wykonywany jako root.

Funkcja `quote()` w shell-quote emituje token `{ comment }` jako `#` z tekstem, co komentuje resztę linii powłoki, w tym otwierający cudzysłów późniejszego tokenu string. Znak końca linii (\n, \r, U+2028, U+2029) w tym późniejszym stringu kończy komentarz, a reszta stringu jest parsowana jako wejście powłoki. Funkcja `parse()` emituje token komentarza dla `#` w środku słowa, więc wywołania łączące wynik `parse()` z innym niezaufanym stringiem są podatne. Poprawka w wersji 1.11.0: `quote()` rzuca `TypeError`, gdy string po tokenie `{ comment }` zawiera znak końca linii.

Biblioteka pbkdf2 do wersji 3.1.6 w swoim fallbacku JavaScript ponownie haszuje hasła dłuższe niż rozmiar bloku digestu przy każdej iteracji. Długie hasła mogą blokować pętlę zdarzeń, ponieważ koszt jest proporcjonalny do iloczynu liczby iteracji i długości hasła. Podatność dotyczy Node.js przed 0.12, Bun (1.0.0-1.1.34 oraz 1.2.6+), Deno 2.9.0+ oraz bezpośredniego importu lib/sync.js.

W produkcie REBUILD do wersji 4.4.11 odkryto podatność w nieznanym kodzie pliku /commons/file-editor-save. Manipulacja argumentem url/fileKey prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W produkcie Rebuild do wersji 4.4.7/4.5.0-beta5 znaleziono podatność w nieznanej części pliku /user/login komponentu Login Endpoint. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w FastAdmin 1.6.1.20250430/1.6.5.20260602 w pliku application/database.php komponentu Database Management. Manipulacja prowadzi do wykonania z niepotrzebnymi uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W produkcie MODSetter SurfSense do wersji 2.0.3 znaleziono podatność w nieznanej funkcji pliku surfsense_backend/app/routes/circleback_webhook_route.py komponentu circleback Endpoint. Wykonanie manipulacji prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W LimeSurvey Community Edition 7.3.0 uwierzytelniony użytkownik z uprawnieniem do tworzenia ankiet może użyć własnej ankiety jako autoryzowanego kontekstu, podając identyfikatory pytań lub odpowiedzi należące do ankiety innego użytkownika. Endpoint REST sprawdza uprawnienia względem ID ankiety z URL, ale operacje zapisu rozwiązują obiekt docelowy po globalnym qid lub aid bez weryfikacji przynależności do autoryzowanej ankiety.

Wykryto podatność w MODSetter SurfSense do wersji 0.0.36 w pliku surfsense_backend/app/routes/editor_routes.py komponentu Document Export Feature. Manipulacja prowadzi do podrobienia żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, exploit jest publiczny. Zalecana aktualizacja do wersji 0.0.36.3.

W MODSetter SurfSense do wersji 2.0.3 wykryto podatność w nieznanym przetwarzaniu pliku /api/search-source/connectors/mcp/test w komponencie MCP Connector Integration. Manipulacja prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

W urządzeniu Netcore NAP930 w wersji 0.1.241010.141410 wykryto podatność w skrypcie /lib/functions/backup_common.sh komponentu Backup/Restore. Manipulacja argumentem aes_pass prowadzi do użycia twardo zakodowanego klucza kryptograficznego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wtyczka HT Contact Form – Drag & Drop Form Builder dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole Rich Text Editor we wszystkich wersjach do 2.10.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.

W produkcie Netcore NAP930 w wersji 0.1.241010.141410 znaleziono podatność w funkcji eval pliku /www/cgi-bin/network_tools komponentu Network Tools CGI. Manipulacja argumentem sid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Bitwarden Server w wersji od 2025.6.0 do 2026.5.0 deklaruje parametr @ExternalId procedury User_ReadBySsoUserOrganizationIdExternalId jako NVARCHAR(50), podczas gdy kolumna, którą odczytuje, przechowuje NVARCHAR(300), co po cichu obcina identyfikator logowania SSO w wdrożeniach SQL Server. Umożliwia to użytkownikowi, którego identyfikator dostawcy tożsamości zaczyna się od pełnego 50-znakowego identyfikatora innego członka organizacji, uwierzytelnienie się jako ten członek i uzyskanie tokenu dostępu w zakresie ofiary.

W RaspAP raspap-webgui do wersji 3.5.5 wykryto podatność w funkcji PluginInstaller::addSudoers w pliku src/RaspAP/Plugins/PluginInstaller.php w komponencie konfiguracji sudo. Manipulacja prowadzi do niewłaściwego zarządzania uprawnieniami, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.