Katalog podatności CVE

W Eleveo Call Recording Software 9.7.0 wykryto podatność w nieznanej funkcji pliku /callrec/audio.jsp w komponencie Play Audio Page. Manipulacja argumentami viewRoleId/cfType prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.

W Wind River VxWorks 7 przed wersją 26.09, określone argumenty wywołań systemowych mogą powodować, że podsystem IPNET nie zwolni poprawnie przydzielonej pamięci jądra i deskryptorów plików przed zakończeniem aplikacji. Problem został naprawiony w wersji 26.09.

Podatność na przechodzenie po ścieżkach w obsłudze katalogu export/bin przez Flatpak podczas wdrażania aplikacji pozwala złośliwej aplikacji Flatpak na usunięcie wybranych przez atakującego plików poza katalogiem wdrożenia podczas instalacji lub aktualizacji aplikacji. W instalacjach systemowych usunięcie jest wykonywane z uprawnieniami roota.

W bibliotece moxygen przed commitem 004123dd24c3 funkcja MoQSession::dataStreamReadLoop nadal używa uchwytu odczytu strumienia po odczytaniu FIN, co unieważnia ten uchwyt w API WebTransport biblioteki proxygen. Zdalny peer może wywołać użycie nieaktualnego uchwytu, otwierając strumień danych, który wskazuje nieznany alias ścieżki i zawiera FIN w tym samym zapisie.

Niewystarczająca walidacja niezaufanych danych wejściowych w komponentach Codecs w Google Chrome przed wersją 147.0.7727.55 umożliwiła zdalnemu atakującemu potencjalny dostęp do pamięci poza zakresem poprzez spreparowany plik wideo. (Waga bezpieczeństwa Chromium: Niska)

Znaleziono błąd w GCC. Gdy aplikacja wywołuje funkcję erase_if na kolejce priorytetowej typu binary heap w libstdc++, biblioteka ponownie alokuje pamięć, ale nie aktualizuje wewnętrznego wskaźnika wpisu. Atakujący, który może wywołać tę operację, może wykorzystać ten błąd use-after-free, prowadząc do odmowy usługi (DoS) poprzez awarię aplikacji lub potencjalne uszkodzenie pamięci.

W Webkul Bagisto do wersji 2.4.6/2.5.0-beta4 wykryto podatność w funkcji masowej aktualizacji statusu faktur w pliku /admin/sales/invoices/mass-update/state. Manipulacja prowadzi do braku autoryzacji, a atak może być przeprowadzony zdalnie. Exploit jest publiczny, a problem został naprawiony w wersji 2.5.0-beta5.

W DeepSeek deepseek-harness do wersji 0.1.7-rc.2 wykryto podatność w funkcji loadProfile pliku packages/boot/app-boot/src/profile.ts w komponencie Bundle Patch Handler. Manipulacja argumentem dsh.bundle.patch prowadzi do path traversal, a atak można przeprowadzić zdalnie, choć wymaga wysokiej złożoności. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział.

W deepseek-ai deepseek-harness do wersji 0.1.5-rc.3 zidentyfikowano podatność w nieznanej funkcji pliku packages/e2b/e2b/src/index.ts w komponencie dsh. Manipulacja argumentem E2B_API_KEY prowadzi do polegania na niezaufanych danych wejściowych w decyzji bezpieczeństwa, a atak wymaga dostępu lokalnego. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział.

Rozszerzenie Joomla - ordasoft.com - Odzwierciedlony Cross-Site Scripting w Book Library (Free) < 6.4.6 - Publiczny szablon strony szczegółów książki, site/views/view_book/tmpl/default.php, bezpośrednio wypisuje surowy parametr title do atrybutu HTML w cudzysłowie bez żadnej funkcji escapowania (echo $_REQUEST["title"];). Wartość zawierająca podwójny cudzysłów zamyka atrybut wcześniej i pozwala na wstrzyknięcie dowolnego HTML/JavaScript.

Rozszerzenie Joomla - ordasoft.com - Nieuwierzytelnione wstrzyknięcie SQL w Book Library (Free) w wersji < 6.4.6. Funkcja books() w pliku site/booklibrary.php odczytuje parametry field i direction i przekazuje je przez funkcję protectInjectionWithoutQuote(), która tylko blokuje słowo kluczowe select, ale wartość jest konkatenowana bezpośrednio w niecytowanej klauzuli ORDER BY, gdzie cytowanie nie chroni. Osiągnięcie podatnej ścieżki wymaga dwóch warunków: pierwszego żądania do ustawienia domyślnych sortowań w sesji oraz końcowego komentarza (-- xselect), który spełnia sprawdzenie podciągu bez zmiany efektu ładunku.

Rozszerzenie Joomla - ordasoft.com - Odzwierciedlony Cross-Site Scripting w Vehicle Manager (Free) < 6.5.8 - Publiczna strona szczegółów pojazdu (task=view) wypisuje parametr title bezpośrednio do atrybutu HTML w cudzysłowie bez żadnego kodowania wyjścia. Znak podwójnego cudzysłowu w parametrze zamyka atrybut, umożliwiając wstrzyknięcie dowolnego znacznika, w tym tagu <script>, do strony.

Rozszerzenie Joomla - ordasoft.com - Nieuwierzytelnione wstrzyknięcie SQL w Vehicle Manager (Free) w wersji < 6.5.8. Plik site/vehiclemanager.php odczytuje parametry sortowania order_field i order_direction w trzech osobnych punktach wejścia frontendu (lista kategorii, wyszukiwanie i lista wszystkich pojazdów) przez funkcję sanityzującą, która stosuje prawdziwe escapowanie, ale wartość jest umieszczana w niecytowanej klauzuli ORDER BY, gdzie escapowanie nie chroni.

Podatność została wykryta w code-projects Matrimonial System 1.0. Dotkniętym elementem jest funkcja processprofile_form w pliku /create_profile komponentu Profile Creation Endpoint. Manipulacja argumentem fname powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Rozszerzenie Joomla - ordasoft.com - Odzwierciedlony Cross-Site Scripting w Real Estate Manager (Free) < 6.7.9 - Formularz "leave a review" na publicznej stronie szczegółów nieruchomości odtwarza pole title bezpośrednio z żądania bez żadnego escapowania i filtrowania, w przeciwieństwie do sąsiedniego pola komentarza, które przynajmniej częściowo usuwa tagi. Znak " w parametrze title przełamuje atrybut HTML, umożliwiając wykonanie elementu <script> w przeglądarce każdego, kto otworzy spreparowany link.

Rozszerzenie Joomla - ordasoft.com - Nieuwierzytelnione wstrzyknięcie SQL w Real Estate Manager (Free) w wersji < 6.7.9. Plik site/realestatemanager.php buduje klauzulę ORDER BY trzech osobnych zapytań frontendu (przeglądanie kategorii, wyniki wyszukiwania i pełna lista nieruchomości) z kontrolowanego przez żądanie parametru order_field, konkatenowanego bezpośrednio w niecytowanej klauzuli SQL bez listy dozwolonych nazw kolumn i bez rzutowania.

Wada znaleziona w StreamsHub Console dla Apache Kafka. Właściwości klienta Kafka dostarczane przez dzierżawcę z zasobu Console są kopiowane do konfiguracji AdminClient console-api bez filtrowania wrażliwych kluczy bezpieczeństwa, co pozwala autorowi Console CR na ustawienie config.providers i bootstrap.servers w celu eksfiltracji tokena ServiceAccount console-api do kontrolowanego przez atakującego brokera.

FreePBX to open source IP PBX. Przed wersją 17.0.9 uwierzytelnieni użytkownicy, którzy mają dostęp do interfejsu modułu GraphQL api, mogą wykonywać dowolne polecenia powłoki. Wymagany jest uwierzytelniony dostęp do modułu api. Generator dokumentacji modułu PBX API przyjmuje uwierzytelniony parametr host i używa go do budowy polecenia powłoki. Ścieżka kodu weryfikuje wygenerowany token OAuth przed wykonaniem, ale nie weryfikuje ani nie escapuje hosta. Kompromitacja skutkuje uwierzytelnionym wykonaniem dowolnych poleceń powłoki jako użytkownik usługi web/PBX (zazwyczaj asterisk). Problem został naprawiony w wersji 17.0.9.

Stringer to samodzielny, antyspołeczny czytnik RSS. Przed commit 75cb095 istnieje nieograniczona podatność na Server-Side Request Forgery (SSRF), która pozwala każdemu uwierzytelnionemu użytkownikowi zmusić serwer Stringer do wysyłania dowolnych żądań HTTP/HTTPS do sieci wewnętrznych, usług localhost i punktów końcowych metadanych chmury (np. AWS IMDS 169.254.169.254). Gdy włączona jest samodzielna rejestracja (Setting::UserSignup), nawet użytkownik z niskimi uprawnieniami może to wykorzystać do skanowania wewnętrznych usług lub kradzieży poświadczeń IAM w chmurze. Problem został naprawiony w commicie 75cb095.

Token Optimizer MCP mierzy oszczędności tokenów na agenta kodowania AI, optymalizuje kontekst i udostępnia lokalny graf wiedzy w czasie rzeczywistym dla 16 klientów CLI. Przed wersją 5.1.0 token-optimizer-mcp jest podatny na wstrzyknięcie poleceń systemu operacyjnego w narzędziu smart_user. Każdy klient MCP, który może wywołać narzędzie smart_user, może wykonywać dowolne polecenia powłoki przez argument username operacji get-user-info. Polecenia są wykonywane z uprawnieniami użytkownika uruchamiającego serwer token-optimizer-mcp. Problem został naprawiony w wersji 5.1.0.