CVE Vulnerability Catalog

Discourse to otwartoźródłowa platforma dyskusyjna. Przed wersjami 2026.3.0-latest.1, 2026.2.1 i 2026.1.2, nieautoryzowany atakujący mógł spowodować, że strona autoryzacji Discourse wyświetlałaby domenę kontrolowaną przez atakującego, co ułatwiało ataki inżynierii społecznej na użytkowników.

Systemy WebCTRL, które komunikują się za pomocą protokołu BACnet, dziedziczą brak uwierzytelniania na warstwie sieciowej. WebCTRL nie wprowadza dodatkowej walidacji ruchu BACnet, co pozwala atakującemu z dostępem do sieci na fałszowanie pakietów BACnet skierowanych do serwera WebCTRL lub powiązanych kontrolerów AutomatedLogic.

Podatność CVE-2026-25086 pozwala atakującemu na związanie się z tym samym portem, który jest używany przez WebCTRL. Dzięki temu atakujący może tworzyć i wysyłać złośliwe pakiety oraz podszywać się pod usługę WebCTRL bez potrzeby wstrzykiwania kodu do oprogramowania WebCTRL.

Zidentyfikowano podatność w PbootCMS do wersji 3.2.12, która dotyczy funkcji checkUsername w pliku apps/home/controller/MemberController.php komponentu logowania użytkowników. Manipulacja argumentem Username prowadzi do wstrzykiwania SQL.

SiYuan to system zarządzania wiedzą osobistą. W wersjach przed 3.6.2 jądro SiYuan udostępnia nieautoryzowany punkt końcowy do serwowania plików pod `/appearance/*filepath`, co umożliwia atakującym przeprowadzenie ataku typu directory traversal i odczytanie dowolnych plików dostępnych dla procesu serwera.

W barebox, bootloaderze, występuje podatność na weryfikację podpisu FIT, która pozwala atakującemu na oszukanie bootloadera w celu uruchomienia innych obrazów niż te, które zostały zweryfikowane w ramach podpisanej konfiguracji. Problem dotyczy wersji od 2016.03.0 do przed 2026.03.1 oraz odpowiednich backportów do 2025.09.3.

In NLTK (Natural Language Toolkit) versions 3.9.3 and prior, the downloader does not validate the `subdir` and `id` attributes when processing remote XML index files. Attackers can control a remote XML index server to provide malicious values containing path traversal sequences (such as `../`), leading to arbitrary directory creation, arbitrary file creation, and arbitrary file overwrite.

A vulnerability in NLTK (Natural Language Toolkit) versions 3.9.3 and earlier allows an unauthenticated remote attacker to shut down the local WordNet Browser HTTP server by sending a GET /SHUTDOWN%20THE%20SERVER request. This causes immediate process termination via os._exit(0), resulting in a denial of service (DoS).

Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. W wersjach od 3.30.6 i wcześniejszych, punkt końcowy podglądu zapytań źródła danych REST (POST /api/queries/preview) wykonuje żądania HTTP po stronie serwera do dowolnego URL dostarczonego przez użytkownika w polu fields.path bez walidacji.

SimpleJWT to prosta biblioteka JSON web token napisana w PHP. Przed wersją 1.1.1, nieautoryzowany atakujący mógł przeprowadzić atak typu Denial of Service poprzez manipulację nagłówkiem JWE, gdy używane były algorytmy PBES2.

SiYuan to system zarządzania wiedzą osobistą. W wersjach przed 3.6.2 serwer WebSocket jądra SiYuan akceptuje nieautoryzowane połączenia, gdy obecny jest określony parametr zapytania 'auth keepalive'. Po nawiązaniu połączenia, przychodzące wiadomości są analizowane przy użyciu niekontrolowanych asercji typów na JSON kontrolowanym przez atakującego.

HAPI FHIR before version 6.9.0 sends the same HTTP headers to all hosts during redirects, potentially leaking sensitive data or allowing request impersonation.

The WebSocket backend uses charging station identifiers to uniquely associate sessions but allows multiple endpoints to connect using the same session identifier. This implementation results in predictable session identifiers, enabling session hijacking or shadowing.

The WebSocket Application Programming Interface lacks restrictions on the number of authentication requests. This absence of rate limiting may allow an attacker to conduct denial-of-service attacks or brute-force attacks to gain unauthorized access.

The WebSocket Application Programming Interface lacks restrictions on the number of authentication requests. This absence of rate limiting may allow an attacker to conduct denial-of-service attacks or brute-force attacks to gain unauthorized access.

The WebSocket backend uses charging station identifiers to uniquely associate sessions but allows multiple endpoints to connect using the same session identifier. This leads to predictable session identifiers, enabling session hijacking or shadowing.

Podatność CVE-2026-22163 dotyczy niewłaściwego użycia interfejsu IOCTL modułu jądra DDK przez złośliwe oprogramowanie. Umożliwia to modyfikację GPU w sposób pozwalający na zapisywanie do dowolnych stron pamięci fizycznej.

Statamic to system zarządzania treścią (CMS) oparty na Laravel i Git. Przed wersjami 5.73.14 i 6.7.0 istniała podatność na XSS typu stored w ponownym przesyłaniu zasobów SVG, która pozwalała uwierzytelnionym użytkownikom z uprawnieniami do przesyłania zasobów na ominięcie sanitizacji SVG i wstrzyknięcie złośliwego JavaScriptu, który był wykonywany podczas wyświetlania zasobu.

Allure 2 w wersji 2.x, narzędzie do raportowania testów, jest podatne na odczyt dowolnych plików poprzez przejście ścieżki w wersjach przed 2.38.0. Atakujący może stworzyć złośliwy plik wynikowy, który wskazuje na wrażliwy plik w systemie gospodarza, co skutkuje jego uwzględnieniem w końcowym raporcie.

ArcSearch dla systemu Android w wersjach przed 1.12.7 może wyświetlać inna domenę w pasku adresu niż treść, która jest pokazywana, co umożliwia oszustwo w pasku adresu po interakcji użytkownika z przygotowanymi treściami internetowymi.