CVE Vulnerability Catalog

A vulnerability in the RustDesk client transmits the address book password in cleartext within the heartbeat sync JSON body. Although HTTPS encrypts the transmission, the password is a shared secret that can be recovered by an attacker who compromises the API server.

Podatność w kliencie RustDesk (rustdesk-client) umożliwia przesyłanie wrażliwych informacji w postaci niezaszyfrowanej, co może prowadzić do ataków typu sniffing. Dotyczy to modułów pętli synchronizacji Heartbeat na systemach Windows, MacOS, Linux, iOS i Android.

A vulnerability in the RustDesk Client allows Application API Message Manipulation via Man-in-the-Middle. This affects various platforms including Windows, MacOS, Linux, iOS, Android, and WebClient.

The xgrammar library before version 0.1.32 contains a vulnerability that causes a segmentation fault when processing multi-level nested syntax. The issue has been fixed in version 0.1.32.

Podatność CVE-2026-3598 dotyczy użycia uszkodzonego lub ryzykownego algorytmu kryptograficznego w rustdesk-server-pro, co pozwala na odzyskanie wbudowanych danych wrażliwych. Problem ten występuje w modułach generowania ciągów konfiguracyjnych oraz eksportu konsoli webowej.

Podatność związana z użyciem uszkodzonego lub ryzykownego algorytmu kryptograficznego w kliencie RustDesk umożliwia odzyskanie wbudowanych danych wrażliwych. Dotyczy to plików programowych oraz określonych rutyn w kodzie źródłowym.

Avira Internet Security zawiera podatność typu time-of-check time-of-use (TOCTOU) w komponencie Optymalizator. Usługa z uprawnieniami SYSTEM identyfikuje katalogi do usunięcia podczas fazy skanowania, a następnie usuwa je w osobnej fazie czyszczenia bez ponownej walidacji ścieżki docelowej.

Avira Internet Security zawiera podatność na deserializację niezaufanych danych w komponencie System Speedup. Proces Avira.SystemSpeedup.RealTimeOptimizer.exe, działający z uprawnieniami SYSTEM, deserializuje dane z pliku znajdującego się w C:\ProgramData bez implementacji walidacji wejścia lub zabezpieczeń deserializacji.

Avira Internet Security zawiera podatność na niewłaściwe rozwiązywanie linków w komponencie Aktualizatora Oprogramowania. Podczas procesu aktualizacji, uprzywilejowana usługa działająca jako SYSTEM usuwa plik z C:\ProgramData, nie weryfikując, czy ścieżka prowadzi przez link symboliczny lub punkt ponownego analizowania.

Python-Markdown version 3.8 contains a vulnerability where malformed HTML-like sequences cause html.parser.HTMLParser to raise an unhandled AssertionError during Markdown parsing. Because Python-Markdown does not catch this exception, any application processing attacker-controlled Markdown may crash.

Wtyczka WowOptin: Next-Gen Popup Maker dla WordPressa jest podatna na nieautoryzowaną instalację dowolnych wtyczek z powodu braku sprawdzenia uprawnień w funkcji 'install_and_active_plugin' we wszystkich wersjach do 1.4.24 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej instalację i aktywację dowolnych wtyczek.

In Eclipse Jetty versions 12.0.0-12.0.31 and 12.1.0-12.0.5, the GzipHandler class has a memory leak vulnerability. When a compressed HTTP request with Content-Encoding: gzip is processed and the response is not compressed, the JDK Inflater object is not released, causing a resource leak.

Podatność związana z niewłaściwą weryfikacją w aplikacji e-mail. Jej wykorzystanie może wpłynąć na poufność usług.

Podatność na obejście uprawnień w ramach systemu usług. Skuteczne wykorzystanie tej podatności może wpłynąć na dostępność systemu.

Wtyczka Membership Plugin – Restrict Content dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 3.2.20 włącznie. Problem wynika z funkcji `rcp_setup_registration_init()`, która akceptuje dowolny identyfikator poziomu członkostwa bez weryfikacji, czy poziom jest aktywny lub czy wymagana jest płatność.

Podatność związana z niewłaściwą kontrolą dostępu w jądrze SUSE Linux Enterprise Server 12 SP5 powoduje, że reguły zapory stosowane za pomocą nftables nie są skuteczne. Problem ten dotyczy wersji SUSE Linux Enterprise Server od 9e6d9d4601768c75fdb0bad3fbbe636e748939c2 do przed 9c294edb7085fb91650bc12233495a8974c5ff2d.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 0.7.2 do 6.19.0, specjalnie przygotowane złośliwe motywy mogą wykonywać dowolny kod na serwerze uruchamiającym Ghost. Problem został naprawiony w wersji 6.19.1.

W podatności CVE-2026-28137 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie MediCenter - Health Medical Clinic, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji od n/a do 14.9 włącznie.

Podatność w WP Royal Royal Elementor Addons (wersje do 1.7.1052) pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Może to prowadzić do nieautoryzowanego dostępu do wrażliwych funkcji.

Podatność typu 'Code Injection' w Crocoblock JetEngine umożliwia zdalne włączenie kodu. Problem dotyczy wersji JetEngine od n/a do 3.7.2 włącznie.