CVE Vulnerability Catalog

Gogs to otwartoźródłowa usługa Git hostowana samodzielnie. Przed wersją 0.14.2, atakujący mógł przechować ładunek HTML/JavaScript w nazwie Milestone w repozytorium, co prowadziło do wyzwolenia ataku XSS opartego na DOM, gdy inny użytkownik wybierał ten Milestone na stronie Nowego Zgłoszenia.

Gogs to otwartoźródłowa usługa Git hostowana na własnym serwerze. Przed wersją 0.14.2 występował problem bezpieczeństwa, w którym usunięcie wydania mogło się nie powieść, jeśli do polecenia git przekazano nazwę tagu kontrolowaną przez użytkownika bez odpowiedniego separatora, co pozwalało na wstrzyknięcie opcji git i zakłócenie procesu.

Gogs to otwartoźródłowa usługa Git hostowana na własnym serwerze. Przed wersją 0.14.2 występowała podatność na przechowywane ataki XSS w funkcjonalności komentarzy i opisów problemów, umożliwiająca uwierzytelnionym użytkownikom wstrzykiwanie dowolnego kodu JavaScript za pomocą złośliwych linków.

W systemie Wincor Nixdorf wnBios64.sys (wersja 1.2.0.0) występuje podatność na przepełnienie bufora stosu w obsłudze IOCTL dla kodu 0x80102058. Brak sprawdzania granic parametru Options, kontrolowanego przez użytkownika, umożliwia atakującemu z lokalnym dostępem wysłanie spreparowanego żądania IOCTL, co może prowadzić do wykonania kodu jądra lub eskalacji uprawnień.

An Arbitrary File Read vulnerability exists in the ImageTextPromptValue class in RAGAS versions 0.2.3 to 0.2.14. It stems from improper validation and sanitization of URLs supplied in the retrieved_contexts parameter when handling multimodal inputs.

A vulnerability in the RustDesk Client (version up to 1.4.8) related to insufficient verification of data authenticity and improper handling of exceptions, allowing for protocol manipulation.

W kliencie RustDesk występuje luka związana z brakiem autoryzacji, która umożliwia manipulację wiadomościami API aplikacji poprzez atak typu Man-in-the-Middle. Problem dotyczy plików programowych flutter/lib/common.Dart oraz procedur importConfig() za pośrednictwem obsługi URI.

A vulnerability in the RustDesk client transmits the address book password in cleartext within the heartbeat sync JSON body. Although HTTPS encrypts the transmission, the password is a shared secret that can be recovered by an attacker who compromises the API server.

Podatność w kliencie RustDesk (rustdesk-client) umożliwia przesyłanie wrażliwych informacji w postaci niezaszyfrowanej, co może prowadzić do ataków typu sniffing. Dotyczy to modułów pętli synchronizacji Heartbeat na systemach Windows, MacOS, Linux, iOS i Android.

A vulnerability in the RustDesk Client allows Application API Message Manipulation via Man-in-the-Middle. This affects various platforms including Windows, MacOS, Linux, iOS, Android, and WebClient.

The xgrammar library before version 0.1.32 contains a vulnerability that causes a segmentation fault when processing multi-level nested syntax. The issue has been fixed in version 0.1.32.

Podatność CVE-2026-3598 dotyczy użycia uszkodzonego lub ryzykownego algorytmu kryptograficznego w rustdesk-server-pro, co pozwala na odzyskanie wbudowanych danych wrażliwych. Problem ten występuje w modułach generowania ciągów konfiguracyjnych oraz eksportu konsoli webowej.

Podatność związana z użyciem uszkodzonego lub ryzykownego algorytmu kryptograficznego w kliencie RustDesk umożliwia odzyskanie wbudowanych danych wrażliwych. Dotyczy to plików programowych oraz określonych rutyn w kodzie źródłowym.

Avira Internet Security zawiera podatność typu time-of-check time-of-use (TOCTOU) w komponencie Optymalizator. Usługa z uprawnieniami SYSTEM identyfikuje katalogi do usunięcia podczas fazy skanowania, a następnie usuwa je w osobnej fazie czyszczenia bez ponownej walidacji ścieżki docelowej.

Avira Internet Security zawiera podatność na deserializację niezaufanych danych w komponencie System Speedup. Proces Avira.SystemSpeedup.RealTimeOptimizer.exe, działający z uprawnieniami SYSTEM, deserializuje dane z pliku znajdującego się w C:\ProgramData bez implementacji walidacji wejścia lub zabezpieczeń deserializacji.

Avira Internet Security zawiera podatność na niewłaściwe rozwiązywanie linków w komponencie Aktualizatora Oprogramowania. Podczas procesu aktualizacji, uprzywilejowana usługa działająca jako SYSTEM usuwa plik z C:\ProgramData, nie weryfikując, czy ścieżka prowadzi przez link symboliczny lub punkt ponownego analizowania.

Python-Markdown version 3.8 contains a vulnerability where malformed HTML-like sequences cause html.parser.HTMLParser to raise an unhandled AssertionError during Markdown parsing. Because Python-Markdown does not catch this exception, any application processing attacker-controlled Markdown may crash.

Wtyczka WowOptin: Next-Gen Popup Maker dla WordPressa jest podatna na nieautoryzowaną instalację dowolnych wtyczek z powodu braku sprawdzenia uprawnień w funkcji 'install_and_active_plugin' we wszystkich wersjach do 1.4.24 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej instalację i aktywację dowolnych wtyczek.

In Eclipse Jetty versions 12.0.0-12.0.31 and 12.1.0-12.0.5, the GzipHandler class has a memory leak vulnerability. When a compressed HTTP request with Content-Encoding: gzip is processed and the response is not compressed, the JDK Inflater object is not released, causing a resource leak.

Podatność związana z niewłaściwą weryfikacją w aplikacji e-mail. Jej wykorzystanie może wpłynąć na poufność usług.