Katalog podatności CVE

Podatność w bibliotece mdex i mdex_native pozwala nieuwierzytelnionemu atakującemu na przeprowadzenie ataku DoS poprzez nieograniczoną alokację pamięci. Funkcja parse_highlight_lines w komponencie LumisAdapter rozszerza zakres linii z bloku kodu bez kontroli górnego limitu, co prowadzi do alokacji ogromnych wektorów. Wystarczy przesłać Markdown z zakresem 1-2000000000, aby wyczerpać pamięć hosta i zatrzymać proces BEAM.

W bibliotece MDEx wykryto podatność na ataki XSS (stored i reflected) poprzez nieprawidłową neutralizację danych wejściowych w Markdown. Atakujący może wstrzyknąć dowolny kod HTML/JavaScript, który wykona się w przeglądarce każdego użytkownika wyświetlającego przetworzoną treść.

W bibliotece p11-kit odkryto podatność polegającą na braku ograniczenia głębokości rekurencji w funkcjach parsujących atrybuty wiadomości RPC. Nieuwierzytelniony atakujący z lokalnym dostępem do gniazda domeny Unix może wysłać specjalnie spreparowane żądanie z głęboko zagnieżdżonymi atrybutami szablonów, powodując wyczerpanie stosu i awarię serwera p11-kit oraz zależnych od niego usług.

Podatność w systemie Hi.Events do wersji 1.9.0 umożliwia nieuwierzytelnionym atakującym dostęp do pełnych list uczestników, w tym adresów e-mail i danych osobowych, poprzez publiczne punkty końcowe list kontrolnych. Wykorzystując znajomość identyfikatora short_id, atakujący może odczytać dane uczestników oraz tworzyć lub usuwać rekordy kontrolne bez autoryzacji.

Podatność w systemie Hi.Events do wersji 1.9.0 umożliwia wielokrotne wykorzystanie ograniczonych kodów promocyjnych. Mechanizm walidacji sprawdza licznik użycia przed asynchronicznym zadaniem aktualizującym stan, co pozwala na sekwencyjne rezerwowanie wielu zamówień z tym samym kodem, każde z licznikiem równym 0.

Mixpost do wersji 2.6.0 zawiera odbitą podatność na skrypty między witrynami (XSS), która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach uwierzytelnionych użytkowników poprzez spreparowanie złośliwych adresów URL zwrotnych OAuth z niesanitowanymi parametrami błędu.

Podatność w Papermark do wersji 0.22.0 wynika z błędnej konfiguracji CORS, która pozwala nieuwierzytelnionym atakującym na wykonywanie żądań międzyoriginowych z poświadczeniami. Atakujący wykorzystują endpoint uploadu oparty na TUS, który odzwierciedla dowolne Origin w nagłówku Access-Control-Allow-Origin z ustawionym Access-Control-Allow-Credentials na true.

Podatność w SigNoz do wersji 0.130.1 umożliwia uwierzytelnionym użytkownikom dostęp do reguł alertów innych organizacji poprzez podanie docelowego UUID reguły. Mechanizm przechowywania reguł alertów nie filtruje według identyfikatora organizacji, co pozwala na ominięcie kontroli dostępu w środowisku wielodostępnym.

Podatność SQL injection w SigNoz do wersji 0.130.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych zapytań ClickHouse poprzez wstrzyknięcie zakodowanych w URL cudzysłowów do parametru identyfikatora reguły w endpointach historii alertów. Atakujący mogą odczytać wszystkie przechowywane trace'e, logi i metryki lub wykorzystać funkcję url() do fałszowania żądań po stronie serwera (SSRF).

Podatność w bibliotece Elide do wersji 7.1.17 nie wymusza @ReadPermission na wyrażeniach sortowania dostarczanych przez klienta w metodzie SortingImpl.getValidSortingRules, co pozwala atakującym sortować kolekcje po zabronionych polach. Atakujący mogą wywnioskować ukryte wartości pól poprzez analizę kolejności wierszy, ujawniając względne uporządkowanie pól we wszystkich wierszach zarówno przez JSON:API, jak i GraphQL.

Podatność w Mythic przed wersją 3.4.0.60 umożliwia uwierzytelnionym użytkownikom z rolą widza (spectator) ominięcie autoryzacji i wykonanie nieautoryzowanych operacji zapisu. Atakujący mogą wykorzystać punkt końcowy eventing_import_automatic_webhook, który jest błędnie skonfigurowany, do tworzenia i usuwania przepływów pracy automatyzacji.

Mythic przed wersją 3.4.0.60 zawiera podatność na ominięcie autoryzacji w czterech punktach końcowych REST (c2profile_config_check_webhook, c2profile_redirect_rules_webhook, c2profile_get_ioc_webhook, c2profile_sample_message_webhook), które nie weryfikują własności ładunku. Operator w jednej operacji może wywołać te punkty końcowe ze znanym UUID ładunku z innej operacji, aby uzyskać dostęp do konfiguracji profilu C2 tej operacji, w tym kluczy szyfrowania i parametrów wywołania zwrotnego.

Podatność w Mythic przed wersją 3.4.0.60 wynika z uszkodzonego filtra uprawnień Hasura na tabeli payload_build_step, który zawiera zawsze spełniony warunek _or, omijający kontrolę dostępu na poziomie operacji. Uwierzytelnieni operatorzy i widzowie mogą odczytywać dane z payload_build_step, w tym step_stdout, step_stderr, step_name i step_description, dla wszystkich operacji na serwerze.

Podatność w ruoyi-vue-pro do wersji 2026.05 (załatana w commicie 5d1fd70) wynika z błędnego egzekwowania przestrzeni nazw uprawnień w kontrolerze ErpSaleOrderController. Atakujący z uprawnieniami erp:sale-out mogą uzyskać nieautoryzowany dostęp do operacji na zamówieniach sprzedaży, wykonując nieuprawnione tworzenie, aktualizację, usuwanie i odczyt wrażliwych finansowo zamówień.

Podatność w module CRM systemu ruoyi-vue-pro (do wersji 2026.05, załatana w commicie c779a47) polega na braku autoryzacji w punkcie końcowym GET /admin-api/crm/follow-up-record/get. Uwierzytelniony użytkownik może odczytać dowolny rekord follow-up, iterując sekwencyjne identyfikatory numeryczne.

Podatność w Pinpoint do wersji 3.1.0 wynika z niebezpiecznego zarządzania sesją, gdzie ciasteczko pinpointJwt nie ma atrybutów HttpOnly i Secure. Umożliwia to atakującym odczytanie ciasteczka przez JavaScript (document.cookie) oraz przesyłanie go w postaci jawnego tekstu przez HTTP.

Podatność SSRF w Pinpoint do wersji 3.1.0 pozwala uwierzytelnionym użytkownikom rejestrować wewnętrzne adresy URL w punkcie końcowym webhooka z powodu braku ochrony przed fałszowaniem żądań po stronie serwera. Atakujący mogą wywołać naruszenie progów alarmowych, zmuszając serwer do wysyłania żądań POST do wewnętrznych hostów i punktów końcowych metadanych.

Podatność w Invidious przed wersją 2.20260626.0 umożliwia nieuwierzytelnionym atakującym odczytanie zawartości prywatnych playlist poprzez endpoint RSS feed. Atakujący może podać identyfikator playlisty, aby uzyskać pełną listę filmów, adres e-mail właściciela oraz powiązane wpisy wideo bez żadnego uwierzytelnienia.

Podatność w PhotoPrism przed wersją 260601-a7d098548 umożliwia uwierzytelnionym użytkownikom niebędącym administratorami modyfikację profili innych użytkowników. Brak walidacji identyfikatora sesji w punkcie końcowym PUT users API pozwala atakującym nadpisać dane profilu bez autoryzacji.

Podatność w LibrePhotos przed wersją 1.0.0 w punkcie końcowym SetPhotosShared umożliwia uwierzytelnionym użytkownikom ominięcie walidacji własności i przyznanie sobie dostępu do prywatnych zdjęć innych użytkowników. Atakujący mogą manipulować relacjami shared_to bez odpowiednich kontroli właściciela, aby odczytać dowolne prywatne zdjęcia.