Base de CVEs

CKAN is an open-source DMS (data management system) for powering data hubs and data portals. Prior to 2.10.10 and 2.11.5, a vulnerability in datastore_search_sql allowed attackers to bypass authorization in order to gain access to private resources and PostgreSQL system information This vulnerability is fixed in 2.10.10 and 2.11.5.

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, NodeVM's builtin allowlist can be bypassed when the module builtin is allowed (including via the '*' wildcard). The module builtin exposes Node's Module._load(), which loads any module by name directly in the host context, completely bypassing vm2's builtin restriction. This allows sandboxed code to load excluded builtins like child_process and achieve remote code execution. This vulnerability is fixed in 3.11.0.

O deployer Helm do Fleet não aplicou totalmente a impersonação de ServiceAccount em dois caminhos de código, permitindo que um tenant com acesso de push a um repositório Git monitorado pelo Fleet leia secrets de qualquer namespace em todos os clusters downstream direcionados pelo seu GitRepo.

wger é um gerenciador gratuito e de código aberto para treinos e fitness. Antes da versão 2.6, as views reset_user_password e gym_permissions_user_edit do wger realizam uma verificação de autorização no escopo de academia (gym) usando comparação de objetos em Python (!=), que avalia None != None como False, ignorando silenciosamente a proteção quando tanto o atacante quanto a vítima não possuem atribuição de academia (gym=None). Um usuário com a permissão gym.manage_gym e gym=None pode redefinir a senha de qualquer outro usuário com gym=None; a nova senha em texto puro é retornada literalmente no corpo da resposta HTML, permitindo a tomada completa da conta em uma única ação. A senha original da vítima é invalidada, bloqueando-a permanentemente. Esta vulnerabilidade foi corrigida na versão 2.6.

ArcadeDB é um DBMS multimodelo. A partir da versão 21.10.1 e antes da versão 26.4.2, usuários autenticados e tokens de API limitados a um banco de dados específico podiam ler, gravar e alterar o esquema de qualquer outro banco de dados no mesmo servidor. Dois defeitos distintos contribuíram: (1) ServerSecurityUser.getDatabaseUser() retornava um usuário de banco de dados com fileAccessMap não inicializado, que requestAccessOnFile tratava como permissão total; (2) ArcadeDBServer.createDatabase() omitia factory.setSecurity(...), de modo que qualquer banco criado via POST /api/v1/server {"command":"create database X"} tinha todo o seu sistema de autorização em nível de registro silenciosamente desativado. Em combinação, a autorização em nível de registro e em nível de banco de dados podia ser contornada por qualquer principal autenticado. Esta vulnerabilidade foi corrigida na versão 26.4.2.

Adobe Connect versions 2025.9.15, 2025.8.157 and earlier are affected by an Incorrect Authorization vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to inject malicious scripts into a web page, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.