Radda/TG_CVE huggingface dataset:
CVE-CVE-2023-46726 , обнаруженная в пакете  для управления активами и информационными технологиямиGLPI до версии 10.0.11, приводит кArbitrary File Upload, с использованием формы конфигурации сервера LDAP. Дляисправлениядобавили функциюisFilepathSafe, которая проверяет схему и нормализует директорию.
CVE-CVE-2023-42799 , обнаруженная в одном из пакетовMoonlight Game Streaming Project, приводит к уязвимостиBuffer Overflow. Проблема заключается в небезопасном использовании  функцииsprintf. Впатчеразработчики ввели  контроль  на размер данных и замели функциюsprintfна ее безопасный аналогsnprintf.
CVE-CVE-2023-50164 , обнаруженная в популярном web-фреймворкеStruts до версии 2.5.33 и6.3.0.2, приводит к  потенциальномуPath Traversal. Уязвимость обусловлена недостаткомFileUploadInterceptorпри формировании значений<file name>FileName, которое может содержать вредоносную нагрузку (например,..\..\..\..\..\..\attack.bin) из состава POST-запроса. Более детальную информацию по уязвимости можно посмотреть вобзоре.
CVE-CVE-2024-21663 , обнаруженная в ботеDiscordRecon до версии 0.0.8, приводит кOS Command Injection. Проблема заключалась в попадании недоверенных  данных в функциюsubprocess.Popen()в состав аргументов команды "prips {argument}". Висправлениибыла добавлена функция санитизации -CommandInjection.sanitizeInput, которая использует функцию экранированияshlex.quote().
CVE-CVE-2023-51700 , выявленная в WordPress плагинеUnofficial Mobile BankID Integrationдо версии 1.0.1. Уязвимость обусловлена использованием функцииunserialize()над недоверенными данными, что может приводить кDeserialization of Untrusted Data. Впатчеисключили использование функций сериализации/десериализации и перешли на хранение данных в формате json.
CVE-CVE-2023-52086 , обнаруженная вPHP backend for resumable.js до версии 0.1.4, приводит кArbitrary File Upload. Дляисправлениядобавили функцию безопасного формирования имени файлаcreateSafeName(string $name), которая использует пакетOndrejVrto\FilenameSanitize\FilenameSanitize.
CVE-CVE-2023-51665 , найденная в приложенииAudiobookshelf до версии 2.7.0, приводит к уязвимостиServer-Side Request Forgery (SSRF). Проблема заключается в формированииurlна основе пользовательских данных, что позволяло конструировать неразрешенные пути . Впатчеразработчики реализовали формирование пути с использованием классаURLи дополнительным контролем на принадлежность к разрешенной группе.
CVE-CVE-2023-6976 ,  в платформе разработкиMachine Learning до версии2.9.2, приводит кUnrestricted File Upload. Уязвимость обусловлена в обходе функции валидации и использовании пути, который поступает из пользовательских данных. Висправлениибыла изменена  логика формирования пути к файлу, путем приведения пути к существующему (local_file_uri_to_path) и проверки на выход за границы каталога.
CVE-CVE-2024-21647 , найденная в сервереPuma до версии 5.6.8 и 6.4.2, приводит кHTTP Request Smuggling. Опасное поведение возникает в процессе обработки частей запроса для механизмаchunked transfer encoding.  Дляисправленияразработчики ограничили размерchunk headerиchunk extensions. Без этого ограничения атакующий мог неограниченно потреблять ресурсы ЦП и сети.
CVE-CVE-2024-22199 , выявленная вшаблонизаторе для Fiber до версии 3.1.9, приводит кCross-Site Scripting (XSS). Уязвимость обусловлена возможностью внедрения пользовательских данных при рендере шаблона без экранирования. Висправлениибыло внедрена настройка  автоматического экранирования (autoescape=true) всех данных поступающих в шаблон.
CVE-CVE-2023-45139 , обнаруженная в Python библиотекеfontTools до версии 4.28.2 (включительно) и 4.43.0, приводит кXML External Entity Injection (XXE). Проблема заключалась в том, что атакующий может использовать External Entity в файле шрифта, содержащего SVG таблицу. Висправлениив функцииsubset_glyphs(), которая обрабатывает данные в SVG формате, в вызов методаetree.XMLParser()добавили параметрresolve_entities=False, запрещающий обрабатывать  External Entity.
CVE-CVE-2024-22196 , обнаруженная вNginx UI до версии v2.0.0.beta.9, приводит кSQL Injection. Проблема находится в обработчикеOrderAndPaginate()и заключается во внедрении данных из запроса (параметрыorderиsort_by) без санитизации в SQL-запрос . Висправлениибыла реализована проверка параметров запросаorderиsort_byна принадлежность соответствующим “белым” спискам.
CVE-CVE-2023-7028 , найденная вGitLab CE/EE версий от 16.1 до 16.1.6, от 16.2 до 16.2.9, от 16.3 до 16.3.7, от 16.4 до 16.4.5, от 16.5 до 16.5.6, от 16.6 до 16.6.4 и от 16.7 до 16.7.2, приводит кImproper Access Control, в результате чего появляется возможность отправки письма о сбросе пароля на электронной адрес непроверенной почты. Описание бюллетеня безопасности можно найти поссылке.
CVE-CVE-2023-6395 , обнаруженная в программном обеспеченииMock, которая позволяет злоумышленнику использовать повышение привилегий дляRCE.  Проблема заключалась в возможности исполнения кода при обработке шаблоновJinja2. Одним из вариантовисправленияпри подготовке шаблона для рендера предлагается использоватьjinja2.sandbox, которая позволяет перехватывать и ограничить доступ за пределы разрешенного окружения.
CVE-CVE-2024-22191 , найденная в фреймворке создания admin-панелиAVO до версии 2.47 и 3.3.0, приводит кCross-Site Scripting (XSS). При редактировании страницы проекта существует возможность внедренияpayloadатакующего, который будет встраиваться в код страницы при его дальнейшем отображении. Дляисправленияразработчики добавили функции санитизацииDOMPurify.sanitize()для полей, через которые была возможность встраиванияpayload.
CVE-CVE-2024-22212 , выявленная вNextcloud Global Site Selector до версии 1.4.1, 2.1.2, 2.3.4 или 2.4.5, приводит к обходу аутентификации. Уязвимость обусловлена ошибкой в логике аутентификации пользователя, которая позволяла пользователю аутентифицироваться с пустым паролем. Висправлениибыла изменена логика проверки наличия пароля и при его отсутствии аутентификация не производится.
CVE-CVE-2024-22419 , найденнаяв Vyper до версии  0.3.10 (включительно), приводит кBuffer Overflow. Дляисправленияразработчики ввели буфер ограниченной длины относительно максимально возможной.
CVE-CVE-2023-22527 , выявленная вConfluence Data Center and Server до версии 8.5.4 и Confluence Data Center до версии 8.6.0, 8.7.1, приводит кRemote Code Executionчерез инъекциюOGNL выражений. Описание бюллетеня безопасности можно найти поссылке. Детальный разбор уязвимости приведен в следующейстатье.
CVE-CVE-2023-36003 (повышение привилегий в Windows XAML diagnostics API);
CVE-CVE-2023-43208 (RCE в Mirth Connect);
CVE-CVE-2024-0204 (обход аутентификации в Fortra GoAnywhere);
CVE-CVE-2023-39143 (проход пути в PaperCut).
CVE-CVE-2024-23897 (чтение произвольных файлов в Jenkins).
CVE-CVE-2024-23339 , обнаруженная в наборе утилитhoolock до версии 2.2.1, приводит кPrototype Pollution. Проблема заключалась в том, что ряд функций позволяли изменять поля объектов, включая свойства прототипов. Висправлениипри установке значения для поля была добавлена функцияsetSafeProperty,  которая проверяет наличие собственного поля у объекта с использованием функцииhasOwnProperty, и предотвращает установку поля у прототипа.
CVE-CVE-2024-23345 , выявленная в платформеNautobot до версии 1.6.10 и 2.1.2,приводит кCross-site Scripting (XSS). Уязвимость обусловлена попаданием недоверенных пользовательских данных без предварительной санитизации в html-код  при рендере Markdown. Висправленииhtml-код после рендера Markdown пропускается через санитизирующую функциюnautobot_logging.clean_html(html), в которой используется функцияnh3.clean, реализующая санинизацию  данных на основе “белых” списков тегов и атрибутов.
CVE-CVE-2024-22203 , найденная в поисковом движкеWhoogle Search до версии 0.8.3 (включительно), приводит кServer-Side Request Forgery (SSRF). В данном приложении существовала возможность попадания недоверенных пользовательских данных из состава параметров запроса (’url’, ‘type’) в состав URL формируемого GET-запроса. Дляисправленияразработчики реализовали проверку домена на его корректность (функцияvalidators.domain()) в составе URL перед формированием GET-запроса.
CVE-CVE-2024-23648 , обнаруженная вPimcore's Admin Classic Bundle до версии 1.2.3, приводит к инъекции адреса атакующего, по которому производится отправка токена при сбросе пароля. Проблема заключалась в том, что для формирования адреса использовались данные из заголовка ‘Host’. Висправлениив процессе формирования адреса исключили использование данных из заголовка ‘Host’ и реализовали использование домена из состава конфигурационных данных.
CVE-CVE-2024-0204 вFortra's GoAnywhere MFT до версии 7.4.1, упомянутая в наших еженедельных новостях, приводит кAuthentication Bypass. Проблема позволяла неавторизованному пользователю создать пользователя-администратора через административный портал. Описание бюллетеня безопасности можно найти вsecurity advisory. Детальный разбор уязвимости приведен в следующейстатье.
CVE-CVE-2024-23334 , обнаруженнаяв web-фреймворке aiohttp от 1.0.5 до версии 3.9.2, приводит кPath Traversal. В фреймворке существует проблема перебора каталога при резолве пути к статическим ресурсам с использованием параметраfollow_symlinks=True- нет контроля пути относительно корневой директории. Висправлениипри установленном флагеfollow_symlinks=Trueперед резолвом пути выполняется его нормализация (функцияos.path.normpath()) и проверка пути  относительно корневого каталога (функцияpathlib.PurePath.relative_to()).
CVE-CVE-2024-21488 , найденная впакете network для Node.js до версии 0.7.0, приводит кCommand Injection. Проблема обусловлена возможностью использования недоверенных данных от нарушителя в процессе формирования команды и ее выполнения с использованием функцииexec()пакетаchild_process. Дляисправленияразработчики добавили валидацию недоверенных входных данных с использованием функцииensure_valid_nic(), в которой реализовали проверку входных данных на “белый” список символов (a-zA-Z0-9_).
CVE-CVE-2024-23838 , выявленная в клиентеTrueLayerNET для TrueLayer до версии 1.6.0, приводит кServer-Side Request Forgery. В приложении был реализован механизм формирования запросов поURI,  значения которого могли формироваться из недоверенных пользовательских данных. Дляисправленияуязвимости разработчики добавили перед формированием запроса механизм контроляURI(функцияHasValidBaseUri()), в которойURIпроверяется на допустимые значения из конфигурации приложения.
CVE-CVE-2024-23841 , найденная в клиентеapollo-client-nextjs для Next.js App Router до версии 0.7.0, приводит кCross-Site Scripting. Проблема заключается в функцииtransportDataToJS(), в которой производится преобразование входных данных из JSON-формата в строку. Возвращаемый результатtransportDataToJS()используется для формированияhtml-кода. Дляисключенияуязвимости разработчики добавили фильтрующую функциюhtmlEscapeJsonString(), в которой производится замена символов “&, <, >” на их Unicode "\u0026, \u003e, \u003c".
CVE-CVE-2024-24756 , обнаруженная в сервере ресурсовCrafatar для Minecraft  до версии 2.1.5, приводит кPath Traversal. При обработке запроса доступа к публичному ресурсу (каталогlib/public) значение пути из запроса записывается в полеreq.url.path_list, которое в дальнейшем используется для чтения файла в функцииasset_request(). При  исправлении проблемы для формирования пути стали использовать функциюpath.resolve(), которая сформирует абсолютный путь без символов “../”, а также в функциюasset_request()добавили дополнительную проверку выхода за пределы каталогаlib/publicпри доступе к публичному ресурсу.
CVE-CVE-2022-4262 (Type Confusion в V8/Google Chrome);
CVE-CVE-2023-46263 (неограниченная загрузка файлов в Avalanche);
CVE-CVE-2023-40547 (RCE в механизме загрузки Shim);
CVE-CVE-2024-22086 , CVE-2024-22087, и CVE-2024-22088(повреждения памяти в Lotos HTTP Server, Pico HTTP Server и Cherry HTTP Server);
CVE-CVE-2023-6246 (переполнение кучи в glibc);
CVE-CVE-2023-49070 , CVE-2020-9496 и CVE-2023-51467(небезопасная десериализация, обход аутентификации и RCE в Ofbiz);
CVE-CVE-2023-5372 (code injection в Zyxel’s NAS326 и NAS542).
CVE-CVE-2024-24811 , обнаруженная вадаптере базы данных SQLAlchemyDA до версии 2.2, приводит кSQL Injection. Проблема появилась из-за возможности использования методов формирования query-запросов без ограничений приватности.  Висправлениибыли добавлены соответствующие настройки приватности для критичных методов с использованием методов (protected(), private())  из классаClassSecurityInfo.
CVE-CVE-2024-24762 , выявленнаяв веб фреймворке FastAPI до версии 0.109.1, которая приводила кReDoS.  Нарушитель мог скорректировать заголовокContent-Type, таким образом, что в процессе его контроля по регулярному выражению происходит повышенное потребление вычислительных ресурсов, что приводит к задержке обработки следующих запросов. Проблема была обусловлена  использованием уязвимого модуляpython-multipart (ver. 0.0.5), висправлениибыла скорректирована версия на0.0.7.
CVE-CVE-2024-24574 , найденнаяв приложении phpMyFAQ до версии 3.2.5, приводит кCross-site Scripting. В приложении существует возможность загрузки файла, а потом использование данных файла (filename, record_lang, mime_type) для отображения на клиентской стороне. Дляисправленияуязвимости разработчики для полей:filename, record_lang,  mime_typeпри их отображении добавили экранирующую функциюStrings::htmlentities().
CVE-CVE-2024-1118 , обнаруженнаяв плагине Podlove Subscribe для WordPress до версии 1.3.10, приводит кSQL Injection. Проблема заключалась в использовании недоверенных данных в формировании query-запроса к БД. Висправленииразработчики стали использовать функцию параметризации query-запросаprepare()классаwpdb.
CVE-CVE-2024-23917 , выявленная в JetBrains TeamCityдо версии 2023.11.3, приводит кBypass Authentication.Наиболее критичным последствием данной уязвимости может являтьсяRCE. О деталях уязвимости можно почитать на блоге поссылке.
CVE-CVE-2024-25108 , обнаруженнаяв платформе Pixelfed до версии 0.11.11, приводит кIncorrect Authorization. Проблема появилась из-за возможности получения административного доступа.  Висправленииввели дополнительные поля вpassport: admin:read, admin:write, которые стали контролироваться вAdminApiController. Также добавили  проверку токена при обработке запроса$request->user()->token().
CVE-CVE-2024-24814 , найденнаяв модуле mod_auth_openidc для Apache до версии2.4.15.2, приводит кUncontrolled Resource Consumption (DoS). Нарушитель при установке достаточно большого значения (99999999)mod_auth_openidc_sessionвcookie, приводит к потреблению избыточных ресурсов сервера. Висправленииразработчики ввели ограничение на максимальное количествоchunkCount, не более 99.
CVE-CVE-2024-25122 , обнаруженнаяв gem модуле SidekiqUniqueJobs до версии 7.1.33 и 8.0.7, приводит кCross-site Scripting. В модуле дляEndpoint"/changelogs, /locks, /expiring_locks" недоверенные пользовательские данные участвуют в формировании html-страниц. Длякорректировкиразработчики значения параметров из запроса (filter, count, cursor, prev_cursor, digest) пропускают через экранирующую функциюh(), которая является псевдонимом функцииhtml_escape().
CVE-CVE-2024-25123 , выявленнаяв  веб-приложении Mission Support System до версии 8.3.3, приводит кPath Traversal.В приложении внешние данные (переменнаяfilename) участвуют в формировании пути к статическому файлу с использованием функцииos.path.join(). Впатчезначение переменнойfilenameстали пропускать черезwerkzeug.security.safe_join()для исключения выхода за пределы базовой директории.
CVE-CVE-2024-25600 , выявленная в темеBricks theme для WordPressдо версии 1.9.6 включительно, приводит кRemote Code Execution. Уязвимость обусловлена использованием функцииeval()при вызовеprepare_query_vars_from_settings(), которая может быть вызвана пользователем без аутентификации. Описание внесенных изменений можно найти поссылке. Детальный разбор уязвимости приведен встатьеи разборепатча.
CVE-CVE-2024-22245 , CVE-2024-22250(Kerberos relay и похищении сессии в VMware Enhanced Authentication plugin);
CVE-CVE-2021-44529 (инъекция кода в vanti EPM Cloud Services Appliance);
CVE-CVE-2024-22076 (RCE в MyQ Print Server);
CVE-CVE-2022-25664 (утечка содержимого памяти в  Qualcomm Adreno GPU);
CVE-CVE-2024-23724 (хранимая XSS в Ghost CMS, развиваемая в захват инстанса CMS).
CVE-CVE-2024-26134 ,  обнаруженнаяв библиотеке CBOR до версии 5.6.2, приводит кBuffer Overflow. Проблема заключалась в возможности выхода за пределы буфера в процессе чтении данных из потока. Висправлениипри чтении данных (функцииdecode_bytestring(),decode_string()) реализовано ограничение на максимальную длину (65536) порции данных.
CVE-CVE-2023-51447 , найденнаяв фреймворке Decidim до версии 0.27.5 и 0.28.0, приводит кCross-site Scripting. В приложении при формированииhtml-страницыбыла возможность использовать данные (filename) загружаемого пользовательского файла.  Дляисправленияразработчик стали использовать экранирующие функцииdecidim_html_escape(), escapeHtml(), escapeQuotes().
CVE-CVE-2024-26135 , выявленнаяв сайте MeshCentralдо версии  1.1.21, приводит кСross-site Websocket Hijacking (CSWSH). Уязвимость обнаружена в административном компоненте и позволяла на клиентской стороне атакующему создать  межсайтовое соединение черезwebsocketи  читать конфигурационный файл сервера или генерировать токены доступа. Висправлениибыла введена проверка заголовкаOriginна "белый" список доменов (allowedorigin) с использованием функцииCheckWebServerOriginName().
CVE-CVE-2024-26148 , обнаруженнаяв Querybook до версии 3.31.1, приводит кCross-site Scripting. Проблема заключалась в возможности внедрения инъекции (javascript:) черезURL. Висправлениибыла  добавлена проверкаsanitizedUrl, которая    протокол в составеURLна разрешенные значения(http, https).
CVE-CVE-2024-25124 , найденнаяв web фреймворке Fiber до версии 2.52.1, приводит кInsecure CORS. Приложение  допускает небезопасные конфигурации, которые потенциально могут подвергнуть приложение множеству уязвимостей, связанных сCORS.  Дляисправленияразработчик добавили функциюvalidateDomain(), которая проверяетoriginна соответствие разрешенному домену.
CVE-CVE-2024-27298 , обнаруженнаяв Parse Server в версиях до 6.5.0, приводит кSQL Injection. Проблема заключалась в возможности обхода регулярного выражения (/([^'])'/), использующегося для фильтрации входных данных. Висправлениибыл скорректирован паттерн, который используется для фильтрации входных данных, путем добавления глобального модификатора -/([^'])'/g.
CVE-CVE-2024-27103 , обнаруженнаяв Pineterest Querybook в версии до 3.31.1, приводит к возможности реализацииXSS. Проблема заключалась в использовании небезопасного поляdangerouslySetInnerHTML, в которое попадает пользовательский ввод. Висправлениибыла добавлена санитизация данных, которые вводит пользователь, с помощью функцииDOMPurify.sanitize.
CVE-CVE-2024-27307 , выявленнаяв JSONata до версии 1.8.7, приводит кPrototype Pollution. Уязвимость обусловлена возможностью внедрения выражения с операторомtransformдля переопределения конструктора и прототипа объекта в приложения. Висправлениибыла добавлена проверка наличия в получаемой строке обращений к прототипу объекта или конструктору, при появлении которых возвращается ошибка.
CVE-CVE-2024-26143 , выявленнаяв Ruby on Rails в версии до7.0.8.1, приводит к возможности реализацииXSS. Уязвимость обусловлена возможностью использования помощников перевода для обработки данных, содержащих полезную нагрузку XSS. Висправленнойверсии был добавлен фрагмент кода, который преобразует входные данные в массив и санитизирует каждый элемент массива с помощьюERB::Util.html_escape.
CVE-CVE-2024-27302 , выявленнаяв фреймворке go-zero до версии 1.4.4, приводит к возможностиобхода политики CORS. Уязвимость обусловлена возможностью злоумышленника обходить политику CORS путем внедрения в заголовок http-запросаOriginзначения домена, содержащего в себе домен цели. Например для целиsafe.comможно внедрить доменnot-safe.comи обойти фильтр политики. Висправлениив функцииisOriginAllowed()была добавлена проверка  значенияОriginна соответствие "белому" списку разрешенных доменов.
CVE-CVE-2024-28114 , обнаруженная в инструментеpeering-manager в версиях до версии 1.8.3, приводит кServer Side Template Injection (SSTI). Проблема заключалась в возможности внедрять вредоносный код в процессе рендераjinja-шаблона. Висправлениибыли внесены изменения в функциюrender_jinja2(), путем использования функцииSandboxedEnvironment()для создании "песочницы" при рендере шаблона.
CVE-CVE-2024-28187 , выявленная вSOY CMS в версиях до 3.14.2, приводит кOS Command Injection. Уязвимость обусловлена возможностью выполнять произвольные команды ОС через специально созданные имена файлов при их загрузке. Висправлениибыла добавлена экранирующая функцияescapeshellarg()при обработке имени файла для функцииexecute()классаUploadFileAction.
CVE-CVE-2024-28199 , выявленнаяв фреймворке Phlex в версияхдо 1.9.1, приводит кXSS. Уязвимость обусловлена возможностью внедренияjavascript:в составе ссылки, предоставляемой пользователем (например, атрибутhrefтега<a>). Висправлениив функции__build_attributes__был реализован фильтр, исключающий наличие в атрибутеhrefзначения "javascript:".
CVE-CVE-2024-28861 , обнаруженная вSymfony1 PHP web framework в версии до 1.5.18, приводит кInsecure deserialization. Проблема заключалась в возможности десериализации пользовательского кода в методе_unserialize()классовsfNamespacedParameterHolder, sfParameterHolder. Висправлениибыли внесены изменения в метод_unserialize()путем внедрения проверки типа (array) передаваемых данных и ограничения на максимальное количество элементов.
CVE-CVE-2024-28849 , найденная вбиблиотеке follow-redirects в версиях до 1.15.5, приводит кInformation Disclosure. Уязвимость обусловлена возможностью перехвата учетных данных при кросс-доменном перенаправлении через прокси. Дляисправлениябыла скорректирована функцияRedirectableRequest.prototype._processResponse()в части расширения регулярного выражения "(?:proxy-)?", используемого для удаления заголовкаProxy-Authorization.
CVE-CVE-2024-29189 , обнаруженная вPyAnsys Geometry в версиях до 0.3.3, приводит кOS Command Injection. Проблема заключалась в потенциальной  возможности прямого вызова метода_start_program()с установленным флагомshell=True. Висправленииизменили имя функции на приватное__start_program()и убрали механизм установки флагаshell=True.
CVE-CVE-2024-27091 , выявленная вGeoNode до версии 4.2.3, приводит кCross-Site Scripting (XSS). Уязвимость обусловлена воpможностью внедрения в состав отображаемогоhtml-кодазначений из ранее полученных данных нарушителя. Впатчебыл добавлен методsanitize_html(), который экранирует опасныетеги htmlс помощью библиотекиnh3.
CVE-CVE-2024-28233 , обнаруженная вJupyterHub до версии 4.1.0, приводит кCross-Site Request Forgery (CSRF). Проблема заключалась в возможности реализации атаки, заставив пользователя посетить вредоносный поддомен, и получить полный доступ кAPI JupyterHubи серверу пользователя. Висправлениибыла добавлены дополнительные настройки безопасности с использованием XSRF-токенов.
CVE-CVE-2024-29882 , обнаруженнаяв video server SRS в версиях до 5.0.210, приводит кCross-Site Scripting (XSS). Проблема заключалась в возможности внедрения в эндпоинт/api/v1/vhosts/vid-<id>?callback=<payload>вредоносных данныхjavascript. Дляисправлениябыла добавлена валидация и проверка получаемого значенияcallbackна отсутствие недопустимых символов.
CVE-CVE-2024-27299 , выявленная вPHPMyFAQ в версии 3.2.5, приводит кSQL-injection. Уязвимость обусловлена возможностью внедрения вредоносного SQL кода в полеauthorEmailпри добавлении новости. Висправлениибыло добавлено экранирование поляauthorEmailс помощью функцииescape().
CVE-CVE-2024-31218 , обнаруженная вWebhood до версии 0.9.1, приводит кBroken Access Control. Проблема заключалась в возможности неавторизированному  злоумышленнику отправитьHTTP-запроскAPIадминистраторабазы данных (Pocketbase) для создания учетной записи администратора . Висправлениибыла добавлена функция генерации случайной учетной записи администратора, если учетные записи администратора еще не были созданы.