CWE-914

Biblioteka vm2 — sandbox dla Node.js — w wersjach przed 3.11.0 umożliwia atakującemu wydostanie się z izolowanego środowiska wykonania kodu poprzez uzyskanie dostępu do dowolnych prototypów JavaScript. Ze względu na maksymalny wynik CVSS (10.0) podatność stanowi krytyczne zagrożenie dla aplikacji korzystających z vm2 do izolacji niezaufanego kodu.

Biblioteka ToUI (Python) w wersjach 2.0.1–2.4.0 niewłaściwie przechowuje zmienne użytkownika w mechanizmie Flask-Caching (SimpleCache), co może prowadzić do nieautoryzowanego dostępu lub modyfikacji danych innych użytkowników. Podatność nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni ją szczególnie niebezpieczną.

In certain conditions, SAP NetWeaver Application Server ABAP allows an authenticated attacker to craft a Remote Function Call (RFC) request to restricted destinations, which can be used to expose credentials for a remote service. These credentials can then be further exploited to completely compromise the remote service, potentially resulting in a significant impact on the confidentiality, integrity, and availability of the application.

Authenticated Gaia users can inject code or commands by global variables through special HTTP requests. A Security fix that mitigates this vulnerability is available.

Lupa integrates the runtimes of Lua or LuaJIT2 into CPython. In 2.6 and earlier, attribute_filter is not consistently applied when attributes are accessed through built-in functions like getattr and setattr. This allows an attacker to bypass the intended restrictions and eventually achieve arbitrary code execution.

Chyrp Lite to ultra-lekki silnik blogowy. Przed wersją 2026.01 istniała podatność IDOR / Mass Assignment w modelu Post, która pozwalała uwierzytelnionym użytkownikom posiadającym uprawnienia do edycji postów (Edit Post, Edit Draft, Edit Own Post, Edit Own Draft) modyfikować posty, których nie posiadają i do których nie mają uprawnień dostępu. Poprzez przekazanie wewnętrznych właściwości klasy, takich jak id, do payload post_attributes, atakujący mógł zmienić instancjowany obiekt. W rezultacie dalsze akcje były wykonywane na postach innego użytkownika zamiast na postach atakującego, co skutecznie umożliwiało przejęcie postu. Podatność została naprawiona w wersji 2026.01.

W youlaitech youlai-mall w wersjach 1.0.0/2.0.0 odkryto podatność dotyczącą nieznanej funkcji pliku /app-api/v1/orders/. Manipulacja parametrem orderId prowadzi do improper control of dynamically-identified variables. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie. Producent został poinformowany o podatności, ale nie odpowiedział.

W youlaitech youlai-mall 1.0.0/2.0.0 znaleziono lukę bezpieczeństwa w funkcjach getById/updateAddress/deleteAddress w pliku /mall-ums/app-api/v1/addresses/. Manipulacja może prowadzić do niewłaściwej kontroli dynamicznie identyfikowanych zmiennych. Atak może być wykonany zdalnie. Exploit został opublikowany i jest dostępny do użytku. Producent został powiadomiony wcześnie, ale nie udzielił odpowiedzi.