CVE Vulnerability Catalog

Black, the Python code formatter, versions 24.3.0 through 26.3.1, writes cache files whose names are derived from formatting options. The --python-cell-magics option value was placed in the filename without sanitization, allowing an attacker controlling this option to write cache files to arbitrary file system locations. Fixed in version 26.3.1.

W Deno, od wersji 2.7.0 do 2.7.1, występuje podatność na wstrzyknięcie poleceń w polifilu node:child_process (tryb shell: true), która omija poprawkę dla CVE-2026-27190. Błąd priorytetu w sanitizacji argumentów pozwala na wykonanie dowolnych poleceń systemowych przez atakującego.

Vulnerability in OpenSSH GSSAPI patches added by various Linux distributions. The use of sshpkt_disconnect() instead of ssh_packet_disconnect() does not terminate the process, allowing an attacker to send an unexpected GSSAPI message type during key exchange, leading to access of uninitialized variables and potential undefined behavior.

Graphiti to framework do budowania i zapytywania o temporalne grafy kontekstowe dla agentów AI. W wersjach przed 0.28.2 występowała podatność na wstrzyknięcie Cypher w konstrukcji wspólnych filtrów wyszukiwania dla backendów innych niż Kuzu, co pozwalało atakującym na wstrzykiwanie kontrolowanych przez nich wartości etykiet.

Tinyauth to serwer autoryzacji i uwierzytelniania. W wersjach przed 5.0.3, punkt końcowy autoryzacji OIDC pozwalał użytkownikom z sesją oczekującą na TOTP (hasło zweryfikowane, TOTP jeszcze nieukończone) na uzyskanie kodów autoryzacyjnych, co umożliwiało atakującym zdobycie ważnych tokenów OIDC.

Parse Server to otwarte oprogramowanie backendowe, które może być wdrażane na każdej infrastrukturze obsługującej Node.js. W wersjach przed 9.6.0-alpha.11 i 8.6.37, wbudowany adapter autoryzacji OAuth2 eksportuje instancję singletona, która jest bezpośrednio używana w różnych konfiguracjach dostawców OAuth2, co może prowadzić do nieprawidłowej walidacji tokenów.

W frameworku Backstage, przed wersją 0.27.1, występuje podatność typu Server-Side Request Forgery (SSRF) w @backstage/plugin-auth-backend, gdy włączona jest opcja auth.experimentalClientIdMetadataDocuments.enabled. Podatność ta polega na niewłaściwej walidacji hosta client_id po przekierowaniach HTTP.

ZeptoClaw to osobisty asystent AI, który przed wersją 0.7.6 ufał polom tożsamości dostarczanym przez wywołującego w kanale webhook. W wyniku braku obowiązkowej autoryzacji, atakujący mógł podszyć się pod dozwolonego nadawcę i wybrać dowolne wartości chat_id, co prowadziło do oszustw związanych z wiadomościami oraz potencjalnych nadużyć w zakresie routingu sesji/czatu.

W wersjach przed 2.0.0 platformy NEXULEAN zidentyfikowano podatność, w której klucze API Firebase i Web3Forms były ujawnione. Atakujący mógł wykorzystać te klucze do interakcji z usługami backendowymi bez autoryzacji, co mogło prowadzić do nieautoryzowanego dostępu do zasobów aplikacji i danych użytkowników.

Zidentyfikowano podatność na wstrzykiwanie poleceń w interfejsie wiersza poleceń Telnet urządzenia TP-Link TL-MR6400 v5.3. Problem ten wynika z niewystarczającego oczyszczania danych przetwarzanych podczas określonych operacji CLI.

The flatted circular JSON parser library has a stack overflow vulnerability. The parse() function uses a recursive revive() phase to resolve circular references, and a crafted payload with deeply nested or self-referential $ indices causes unbounded recursion, crashing the Node.js process.

Dataease to narzędzie do analizy wizualizacji danych typu open source. Przed wersją 2.10.20, kontrolując parametr IniFile, atakujący mógł wymusić na sterowniku JDBC załadowanie pliku konfiguracyjnego kontrolowanego przez siebie, co mogło prowadzić do zdalnego wykonania kodu.

Dataease to narzędzie do analizy wizualizacji danych typu open source. W wersjach przed 2.10.20 parametr table dla /de2api/datasource/previewData jest bezpośrednio łączony z instrukcją SQL bez żadnego filtrowania lub parametryzacji, co umożliwia atakującym wstrzykiwanie złośliwych instrukcji SQL poprzez skonstruowanie złośliwych nazw tabel.

soroban-poseidon provides Poseidon and Poseidon2 cryptographic hash functions for Soroban smart contracts. Poseidon V1 (PoseidonSponge) accepts variable-length inputs without injective padding. When fewer inputs than the sponge rate are provided, unused rate positions are zero-filled, allowing trivial hash collisions: hash([m1, ..., mk]) equals hash([m1, ..., mk, 0]). This affects any use of PoseidonSponge or poseidon_hash where the number of inputs is less than T - 1. Poseidon2 is not affected.

Magic Wormhole umożliwia przesyłanie plików i katalogów między komputerami. W wersjach od 0.21.0 do przed 0.23.0, odbieranie pliku od złośliwej strony mogło prowadzić do nadpisania krytycznych lokalnych plików, takich jak ~/.ssh/authorized_keys i .bashrc.

W Trane Tracer SC, Tracer SC+ i Tracer Concierge występuje luka związana z brakiem autoryzacji, która może umożliwić nieautoryzowanemu atakującemu dostęp do wrażliwych informacji za pośrednictwem niechronionych interfejsów API.

Podatność związana z alokacją pamięci o nadmiernej wartości rozmiaru w systemach Trane Tracer SC, Tracer SC+ oraz Tracer Concierge może umożliwić nieautoryzowanemu atakującemu spowodowanie stanu odmowy usługi.

W wersji 4.3.11 urządzenia GL-iNet GL-AR300M16 odkryto podatność na wstrzykiwanie SQL poprzez funkcję add_group(). Ta podatność umożliwia atakującym wykonywanie dowolnych operacji na bazie danych SQL za pomocą spreparowanego żądania HTTP.

Tina to system zarządzania treścią bez interfejsu graficznego. W wersjach przed 2.1.8, serwer deweloperski TinaCMS CLI ujawnia punkty końcowe mediów, które są podatne na ataki typu path traversal, co pozwala atakującym na odczyt i zapis dowolnych plików w systemie plików poza zamierzonym katalogiem mediów.

Tina to system zarządzania treścią bez interfejsu graficznego. Przed wersją 2.1.7 występowała podatność na traversję ścieżek w obsłudze przesyłania mediów serwera deweloperskiego TinaCMS, która pozwalała na zapis plików w dowolnych lokalizacjach w systemie plików.