CVE Vulnerability Catalog

goshs to prosty serwer HTTP napisany w Go. Przed wersją 2.0.0-beta.3, katalog do przesyłania plików metodą POST multipart nie był odpowiednio sanitizowany. Ta podatność została naprawiona w wersji 2.0.0-beta.3.

Podatność w goshs, prostym serwerze HTTP napisanym w Go, polega na braku sanitizacji ścieżek w operacji przesyłania plików metodą PUT przed wersją 2.0.0-beta.3. Problem ten został naprawiony w wersji 2.0.0-beta.3.

pyLoad to darmowy menedżer pobierania napisany w Pythonie, który w wersji 0.5.0b3.dev96 i wcześniejszych ma podatność typu server-side request forgery (SSRF). Mimo wprowadzenia walidacji IP w metodzie BaseDownloader.download(), mechanizm automatycznego śledzenia przekierowań nie weryfikuje celów przekierowań względem filtra SSRF.

EcclesiaCRM to oprogramowanie CRM do zarządzania kościołem. Przed wersją 8.0.0 występowała podatność na wstrzyknięcie SQL w pliku v2/templates/query/queryview.php poprzez parametry custom i value. Ta podatność została naprawiona w wersji 8.0.0.

Workbench to zestaw narzędzi dla administratorów i deweloperów do interakcji z organizacjami Salesforce.com za pomocą API Force.com. Przed wersją 65.0.0, Workbench zawierał podatność na zdalne wykonanie kodu w procesie konwersji strefy czasowej, który przetwarzał wartości ciasteczek kontrolowane przez atakującego w niebezpieczny sposób.

W procesorach mobilnych Samsung, procesorach noszonych oraz modemach Exynos 980, 990, 850, 1080, 2100, 1280, 2200, 1330, 1380, 1480, 2400, 1580, 2500, 9110, W920, W930, W1000 oraz modemach 5123, 5300 i 5400 odkryto problem związany z przepełnieniem bufora na stosie podczas analizy wiadomości SMS RP-DATA.

W procesorach mobilnych Samsung, w tym Exynos 980, 990, 850, 1080 oraz modemach, odkryto problem związany z nieprawidłowym przetwarzaniem pakietów LTE MAC zawierających wiele elementów sterujących (CE). To prowadzi do awarii bazy pasmowej.

Chyrp Lite to ultralekki silnik blogowy. Przed wersją 2026.01 istniała podatność na traversję ścieżki w konsoli administracyjnej, która pozwalała administratorowi lub użytkownikowi z uprawnieniami do zmiany ustawień na zmianę ścieżki przesyłania plików na dowolny folder.

Kedro to narzędzie do produkcyjnej analizy danych. W wersjach przed 1.3.0, Kedro pozwalał na ustawienie ścieżki do pliku konfiguracyjnego logowania za pomocą zmiennej środowiskowej KEDRO_LOGGING_CONFIG i ładował go bez walidacji, co umożliwiało wykonanie dowolnych poleceń systemowych podczas uruchamiania aplikacji.

D-Tale, będący połączeniem backendu Flask i frontendu React do przeglądania i analizy struktur danych Pandas, przed wersją 3.22.0 był podatny na zdalne wykonanie kodu. Użytkownicy hostujący D-Tale publicznie z wykorzystaniem warstwy przechowywania redis lub shelf mogli być narażeni na ataki umożliwiające uruchomienie złośliwego kodu na serwerze.

Podatność w text-generation-webui przed wersją 4.1.1 pozwala użytkownikom na zapisywanie ustawień rozszerzeń w formacie 'py' w katalogu głównym aplikacji. To umożliwia nadpisywanie plików Pythona, co może prowadzić do wykonania złośliwego kodu.

Brave CMS to otwartoźródłowy system zarządzania treścią. W wersjach przed 2.0.6 występuje podatność na nieograniczone przesyłanie plików w punkcie końcowym CKEditor, co pozwala atakującym na przesyłanie dowolnych plików, w tym skryptów wykonywalnych.

fast-jwt to szybka implementacja JSON Web Token (JWT). W wersjach od 0.0.1 do przed 6.2.0, niewłaściwe skonfigurowanie metody cacheKeyBuilder może prowadzić do kolizji w pamięci podręcznej, co skutkuje błędną identyfikacją tokenów podczas weryfikacji.

In LiteLLM before version 1.83.0, when JWT authentication is enabled (enable_jwt_auth: true), the OIDC userinfo cache uses the first 20 characters of the token as the cache key. Since JWT headers produced by the same signing algorithm generate identical first 20 characters, an unauthenticated attacker can craft a token matching the cache and inherit a legitimate user's identity and permissions.

CVE-2026-34989 dotyczy aplikacji CI4MS, która nieprawidłowo sanitizuje dane wejściowe kontrolowane przez użytkownika podczas aktualizacji nazwy profilu. Atakujący może wstrzyknąć złośliwy kod JavaScript, który jest następnie przechowywany na serwerze i wyświetlany w różnych widokach aplikacji bez odpowiedniego kodowania wyjścia, co prowadzi do ataku typu stored XSS.

Aperi'Solve is an open-source steganalysis platform that in versions 3.1.3 through 3.2.0 allows uploading JPEG files with an optional password. This password is passed directly into an expect command without any validation, enabling remote code execution at the root level by an unauthenticated attacker.

Dgraph to otwartoźródłowa rozproszona baza danych GraphQL. W wersjach przed 25.3.1 brakowało autoryzacji dla mutacji restoreTenant, co umożliwiało nieautoryzowanym atakującym jej wykorzystanie do nadpisania bazy danych oraz uzyskania dostępu do plików serwera.

Bruno to otwarte źródło IDE do eksploracji i testowania API. Przed wersją 3.2.1, Bruno było narażone na atak łańcucha dostaw związany z skompromitowanymi wersjami pakietu axios npm, co wprowadziło ukrytą zależność wdrażającą wieloplatformowego trojana zdalnego dostępu (RAT).

W wersjach 6.1.0 i wcześniejszych, regex publicKeyPemMatcher w fast-jwt/src/crypto.js używa kotwicy ^, która jest ignorowana przez wszelkie wiodące białe znaki w ciągu klucza. To umożliwia ponowne wykorzystanie ataku na algorytm JWT, który został załatany w CVE-2023-48223.

Lupa integrates Lua or LuaJIT2 runtimes into CPython. In version 2.6 and earlier, the attribute filter is not consistently applied when attributes are accessed via built-in functions like getattr and setattr. This allows an attacker to bypass intended restrictions and eventually achieve arbitrary code execution.