CVE Vulnerability Catalog

An information disclosure vulnerability due to uninitialized memory in Firefox and Firefox Focus for Android. This flaw was fixed in Firefox 148.

Podatność CVE-2026-2783 dotyczy ujawnienia informacji spowodowanego błędną kompilacją JIT w silniku JavaScript. Została naprawiona w wersjach Firefox 148, Firefox ESR 140.8, Thunderbird 148 oraz Thunderbird 140.8.

A use-after-free vulnerability was found in the IndexedDB component of Firefox and Thunderbird. The flaw is fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8.

W REB500 występuje podatność, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp i modyfikację zawartości katalogów za pomocą protokołu DAC, do którego użytkownik nie ma uprawnień.

W systemie REB500 występuje podatność, która pozwala uwierzytelnionemu użytkownikowi z rolą Instalatora na dostęp i modyfikację zawartości katalogów, do których ta rola nie ma uprawnień.

The IEC 60870-5-104 protocol used in RTU500 has a potential Denial of Service vulnerability that can occur when receiving invalid U-format frames. The product is only affected if the bi-directional functionality of the protocol is configured.

W module jądra grpcfuse w systemie Linux VM w Docker Desktop dla systemów Windows, Linux i macOS do wersji 4.61.0 występuje podatność na odczyt poza zakresem. Lokalny atakujący może spowodować nieokreślony wpływ, zapisując do wpisów /proc/docker.

Autor DAG (który ma już sporo uprawnień) mógł manipulować bazą danych Airflow 2 w sposób umożliwiający wykonanie dowolnego kodu w kontekście serwera WWW, co normalnie nie powinno być możliwe. Może to prowadzić do potencjalnego zdalnego wykonania kodu w kontekście serwera WWW w wyniku przeglądania przez użytkownika informacji o historycznych zadaniach.

Podatność CVE-2024-1524 dotyczy sytuacji, w której włączona funkcja 'Silent Just-In-Time Provisioning' dla dostawcy tożsamości (IDP) może prowadzić do zastąpienia informacji o użytkowniku lokalnym podczas procesu tworzenia konta. Problem występuje, gdy użytkownicy federacyjni mają tę samą nazwę użytkownika co lokalni użytkownicy.

Wtyczka Responsive Lightbox & Gallery dla WordPressa w wersjach przed 2.6.1 jest podatna na atak Unauthenticated Stored-XSS z powodu błędnych reguł zamiany regex, które mogą być wykorzystane poprzez dodanie komentarza z złośliwym linkiem, gdy włączona jest funkcja lightbox dla komentarzy i zostanie on zatwierdzony.

W systemie zarządzania dokumentami itsourcecode w wersji 1.0 wykryto podatność na SQL injection w nieznanej funkcji pliku /edtlbls.php. Manipulacja argumentem field1 może prowadzić do wykonania złośliwego kodu SQL.

Zidentyfikowano słabość w systemie zarządzania dokumentami itsourcecode w wersji 1.0. Manipulacja argumentem user2del w pliku /deluser.php może prowadzić do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

Podatność w yt-dlp, dostępna od wersji 2023.06.21 do 2026.02.21, pozwala na zdalne wstrzyknięcie dowolnych poleceń na systemie użytkownika poprzez złośliwie skonstruowany URL, gdy używana jest opcja `--netrc-cmd` lub parametr `netrc_cmd`. Użytkownicy, którzy nie korzystają z tych opcji, są bezpieczni.

ImageMagick to darmowe oprogramowanie do edycji i manipulacji obrazami cyfrowymi. W wersjach przed 7.1.2-15 i 6.9.13-40, specjalnie przygotowany plik SVG może prowadzić do odmowy usługi z powodu błędu w sprawdzaniu granic.

W programie CGI do pobierania certyfikatów TR-369 w oprogramowaniu układowym Zyxel VMG3625-T50B w wersjach do 5.50(ABPM.9.7)C0 występuje podatność na wstrzykiwanie poleceń po uwierzytelnieniu. Umożliwia to uwierzytelnionemu atakującemu z uprawnieniami administratora wykonanie poleceń systemu operacyjnego na podatnym urządzeniu.

Wersje firmware'u Zyxel EX3301-T0 do 5.50(ABVY.7)C0 zawierają podatność na wstrzykiwanie poleceń po uwierzytelnieniu w funkcji pobierania plików dziennika. Umożliwia to uwierzytelnionemu atakującemu wykonanie poleceń systemu operacyjnego na podatnym urządzeniu.

Wykryto podatność w DataLinkDC dinky do wersji 1.2.5, która dotyczy funkcji addInterceptors w pliku AppConfig.java komponentu OpenAPI Endpoint. Manipulacja tą funkcją może prowadzić do braku autoryzacji, co umożliwia zdalne przeprowadzenie ataku.

In ImageMagick prior to versions 7.1.2-15 and 6.9.13-40, a crafted SVG file triggers an attempt to allocate approximately 674 GB of memory, causing an out-of-memory abort.

ImageMagick prior to versions 7.1.2-15 and 6.9.13-40 has a stack buffer overflow vulnerability when processing an attribute in msl.c. A long value overflows a fixed-size stack buffer, leading to memory corruption.

W ImageMagick, przed wersją 7.1.2-15, występuje przepełnienie bufora na stosie w czytniku obrazów FTXT. Odpowiednio przygotowany plik FTXT może prowadzić do zapisów poza przydzielonym obszarem pamięci, co skutkuje awarią programu.