CVE Vulnerability Catalog

In the Linux kernel, a vulnerability in the teql (TrueLink Equalizer) queuing discipline lacks enforcement that teql can only be used as a root qdisc. This allows an attacker to configure it as a child qdisc, leading to data inconsistency and a potential Use-After-Free (UAF).

W jądrze systemu Linux naprawiono podatność związaną z funkcją rxrpc_recvmsg(). Problem polegał na niekontrolowanym ponownym umieszczaniu wywołań w kolejce, co mogło prowadzić do uszkodzenia kolejki recvmsg i potencjalnych błędów, takich jak UAF czy niedobory liczników odniesień.

Podatność w subsystemie renderowania tekstu oprogramowania Cisco TelePresence Collaboration Endpoint oraz Cisco RoomOS może umożliwić nieautoryzowanemu, zdalnemu atakującemu spowodowanie stanu odmowy usługi (DoS) na podatnym urządzeniu. Problem wynika z niewystarczającej walidacji danych wejściowych otrzymywanych przez urządzenie.

Podatność w funkcji zarządzania certyfikatami w Cisco Meeting Management może pozwolić uwierzytelnionemu, zdalnemu atakującemu na przesyłanie dowolnych plików, wykonywanie dowolnych poleceń oraz podnoszenie uprawnień do roota na podatnym systemie. Problem wynika z niewłaściwej walidacji danych wejściowych w interfejsie zarządzania opartym na sieci.

Złośliwie przygotowany katalog projektu, otwierając plik max w Autodesk 3ds Max, może prowadzić do wykonania dowolnego kodu w kontekście bieżącego procesu z powodu wykorzystania nieufnej ścieżki wyszukiwania.

Złośliwie skonstruowany plik RGB, przetwarzany przez Autodesk 3ds Max, może prowadzić do podatności na uszkodzenie pamięci. Złośliwy aktor może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście bieżącego procesu.

Złośliwie przygotowany plik GIF, przetwarzany przez Autodesk 3ds Max, może spowodować podatność na przepełnienie bufora na stosie. Złośliwy aktor może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście bieżącego procesu.

Złośliwie skonstruowany plik USD, po załadowaniu lub zaimportowaniu do Autodesk Arnold lub Autodesk 3ds Max, może spowodować podatność na zapis poza granicami. Złośliwy aktor może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście bieżącego procesu.

Złośliwie skonstruowany plik GIF, przetwarzany przez Autodesk 3ds Max, może prowadzić do podatności typu Out-of-Bounds Write. Złośliwy aktor może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście bieżącego procesu.

Złośliwie skonstruowany plik RGB, przetwarzany przez Autodesk 3ds Max, może prowadzić do podatności na uszkodzenie pamięci. Złośliwy aktor może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście bieżącego procesu.

n8n to platforma automatyzacji procesów roboczych typu open source. W wersjach od 1.65.0 do przed 1.114.3, użycie Buffer.allocUnsafe() i Buffer.allocUnsafeSlow() w runnerze zadań pozwalało na alokację niezainicjowanej pamięci przez nieufny kod, co mogło prowadzić do ujawnienia informacji.

In the Linux kernel, a double free vulnerability was found in the ALSA AC97 module in the snd_ac97_controller_register() function. If ac97_add_adapter() fails, using kfree() instead of put_device() leads to a double free.

Wtyczka SportsPress dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do i włącznie z 2.7.26 poprzez atrybut 'template_name' w shortcode'ach. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie co najmniej 'contributor' do dołączenia i wykonania dowolnych plików na serwerze.

Podatność w Apache Answer umożliwia nieautoryzowanym użytkownikom dostęp do pełnej historii rewizji usuniętych treści poprzez nieautoryzowany punkt końcowy API. Problem ten dotyczy wersji do 1.7.1.

Wtyczka SEO Flow autorstwa LupsOnline dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcjach checkBlogAuthentication() i checkCategoryAuthentication() we wszystkich wersjach do 2.2.1 włącznie. Funkcje te implementują jedynie podstawową autoryzację klucza API, nie przeprowadzając jednak sprawdzenia uprawnień WordPressa.

Wtyczka Infility Global dla WordPressa jest podatna na nieautoryzowaną injekcję SQL poprzez akcję API 'infility_get_data' we wszystkich wersjach do i włącznie z 2.14.46. Problem wynika z niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Podatność CVE-2026-1819 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ViPort, co pozwala na ataki typu Stored XSS. Problem ten dotyczy wersji ViPort do 23012026.

A vulnerability in GalaxyDiagnostics prior to version 3.5.050 is caused by improper input validation. It allows local privileged attackers to execute privileged commands.

Nieprawidłowy eksport komponentów aplikacji na Androida w Samsung Dialer przed wydaniem SMR luty-2026 pozwala lokalnym atakującym na uruchamianie dowolnych działań z uprawnieniami Samsung Dialer.

Nieprawidłowe zarządzanie uprawnieniami w Ustawieniach przed wydaniem SMR luty-2026 Release 1 umożliwia lokalnym atakującym uruchamianie dowolnych działań z uprawnieniami Ustawień.