CWE-88

Gotenberg w wersjach 8.30.1 i wcześniejszych nie sanityzuje wartości metadanych przekazywanych do ExifTool, co umożliwia niezautoryzowanemu atakującemu wstrzyknięcie arbitralnych pseudo-tagów ExifTool. Podatność pozwala na nadpisywanie plików, przenoszenie przetwarzanych plików PDF oraz tworzenie symlinków i hard linków w obrębie kontenera.

Podatność w serwerze HTTP/HTTPS TinyWeb (wersje przed 2.01) umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie mechanizmów kontroli parametrów CGI. W zależności od konfiguracji serwera skutkuje to ujawnieniem kodu źródłowego hostowanych skryptów lub pełnym zdalnym wykonaniem kodu (RCE).

Standardowa biblioteka języka Rust w wersjach przed 1.77.2 nieprawidłowo escapowała argumenty przekazywane do plików wsadowych (batch) na platformie Windows za pośrednictwem API `Command`. Atakujący mogący kontrolować argumenty przekazywane do uruchamianego procesu mógł wykonać dowolne polecenia powłoki, omijając mechanizm escapowania.

Krytyczna podatność argument injection w interfejsie administracyjnym produktów Atos Unify OpenScape SBC, Branch i BCF pozwala nieuwierzytelnionemu atakującemu na uzyskanie dostępu root do urządzenia poprzez SSH oraz ominięcie uwierzytelnienia panelu administracyjnego. CVSS wynosi maksymalne 10.0, co oznacza pełne i zdalne przejęcie kontroli nad urządzeniem bez żadnych wymagań wstępnych.

Argument injection vulnerability in the telnet daemon (in.telnetd) in Solaris 10 and 11 (SunOS 5.10 and 5.11) misinterprets certain client "-f" sequences as valid requests for the login program to skip authentication, which allows remote attackers to log into certain accounts, as demonstrated by the bin account.

Argument injection vulnerability in IBM Lotus Notes 6.0.3 and 6.5 allows remote attackers to execute arbitrary code via a notes: URI that uses a UNC network share pathname to provide an alternate notes.ini configuration file to notes.exe.

Some implementations of rlogin allow root access if given a -froot parameter.

Podatność typu argument injection w WordPress Toolkit przed wersją 6.11.0 (używanym w cPanel & WHM) pozwala uwierzytelnionemu zdalnemu użytkownikowi ominąć autoryzację między kontami (cross-tenant) i wykonywać polecenia CLI wp-toolkit w kontekście innego konta. Wysoki wynik CVSS 9.9 wynika z pełnego wpływu na poufność, integralność i dostępność z możliwością wykroczenia poza zakres uprawnień atakującego.

Podatność w aplikacji Lumiverse (przed wersją 0.9.7) umożliwia każdemu zalogowanemu użytkownikowi wykonanie dowolnego kodu na poziomie systemu operacyjnego serwera. Wynika to z braku walidacji tablicy argumentów przekazywanych do procesu potomnego podczas tworzenia serwera MCP.

Wbudowany serwer SSH w Gogs do wersji 0.13.0 zawiera podatność typu argument injection, która umożliwia zdalne wykonanie kodu (RCE). Zagrożenie jest krytyczne, ponieważ uwierzytelniony atakujący może przejąć kontrolę nad serwerem bez konieczności posiadania wysokich uprawnień.

An exploitable vulnerability exists in the smart cameras RTSP configuration of the Samsung SmartThings Hub STH-ETH-250 - Firmware version 0.20.17. The device incorrectly handles spaces in the URL field, leading to an arbitrary operating system command injection. An attacker can send a series of HTTP requests to trigger this vulnerability.

Adversarial Robustness Toolbox (ART) do wersji 1.20.1 zawiera podatność typu command-line argument injection w komponencie Kubeflow, która umożliwia wykonanie dowolnego kodu. Skrypt przetwarzający argumenty linii poleceń używa niebezpiecznej funkcji eval(), co pozwala atakującemu na wstrzyknięcie i wykonanie arbitralnego kodu Python.

W komponencie SimpleVectorStore biblioteki Spring AI istnieje podatność na wstrzyknięcie wyrażeń SpEL (Spring Expression Language), umożliwiająca wykonanie dowolnego kodu na serwerze. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika.

Biblioteka Locutus w wersjach przed 3.0.14 umożliwia wykonanie dowolnego kodu (RCE) za pośrednictwem funkcji create_function(). Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika i może być wykorzystana zdalnie.

Urządzenie TOTOLINK X5000R w oprogramowaniu v9.1.0cu_2415_B20250515 zawiera podatność typu argument injection w obsłudze żądań setDiagnosisCfg. Umożliwia ona zdalnie uwierzytelnionym atakującym wstrzyknięcie dowolnych opcji wiersza poleceń do narzędzia ping, co może prowadzić do odmowy usługi (DoS).

Podatność typu argument injection w module MicrositeUrl platformy Salesforce Marketing Cloud Engagement umożliwia manipulację protokołami usług sieciowych (Web Services Protocol Manipulation). Krytyczny poziom zagrożenia (CVSS 9.8) wynika z faktu, że atak nie wymaga uwierzytelnienia ani interakcji użytkownika.

Podatność typu argument injection w module CloudPagesUrl produktu Salesforce Marketing Cloud Engagement umożliwia manipulację protokołami usług sieciowych (Web Services Protocol Manipulation). Krytyczny poziom CVSS 9.8 oznacza możliwość ataku bez uwierzytelnienia, zdalnie i bez interakcji użytkownika.

Serwer telnetd wchodzący w skład GNU Inetutils (do wersji 2.7 włącznie) umożliwia zdalne ominięcie uwierzytelnienia poprzez odpowiednio spreparowaną wartość zmiennej środowiskowej USER. Podatność posiada ocenę CVSS 9.8 i jest aktywnie wykorzystywana przez atakujących.

W aplikacji Pagure wykryto krytyczną podatność typu argument injection w operacjach Git, prowadzącą do zdalnego wykonania kodu (RCE) na serwerze. Podatność nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni ją szczególnie niebezpieczną.

Biblioteka go-getter firmy HashiCorp jest podatna na atak typu argument injection podczas wykonywania operacji Git w celu wykrycia zdalnych gałęzi. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co oznacza możliwość jej wykorzystania zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.