CVE Vulnerability Catalog

Wykryto podatność w ericc-ch copilot-api do wersji 0.7.0, dotycząca funkcji cors w pliku src/server.ts komponentu Token Endpoint. Manipulacja tą funkcją prowadzi do zezwolenia na politykę cross-domain z niezaufanymi domenami.

KissFFT before commit 8a8e66e contains an integer overflow vulnerability in the kiss_fftndr_alloc() function where the allocation size calculation dimOther*(dimReal+2)*sizeof(kiss_fft_scalar) overflows signed 32-bit integer arithmetic before being widened to size_t, causing malloc() to allocate an undersized buffer. Attackers can trigger a heap buffer overflow by providing crafted dimensions that cause the multiplication to exceed INT_MAX, allowing writes beyond the allocated buffer region when kiss_fftndr() processes the data.

Magento Long Term Support (LTS) przed wersją 20.17.0 używa niekompletnej listy blokowanych rozszerzeń plików, co pozwala na przesyłanie niebezpiecznych plików. Możliwe jest ominięcie blokady poprzez użycie alternatywnych rozszerzeń PHP, co prowadzi do możliwości zdalnego wykonania kodu.

An insecure permissions vulnerability in DeepCool DeepCreative version 1.2.12 and earlier allows a local attacker to execute arbitrary code via a crafted file.

W systemach Dell PowerProtect Data Domain w wersjach od 7.7.1.0 do 8.6 oraz w wersjach LTS2025 i LTS2024 występuje podatność na wstrzykiwanie poleceń systemowych. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami roota.

Magento Long Term Support (LTS) przed wersją 20.17.0 zawierał podatność, która pozwalała na deserializację podczas przetwarzania ścieżek z użyciem wrappera strumieniowego `phar://`. Funkcje PHP takie jak `getimagesize()`, `file_exists()` i `is_readable()` mogły być wykorzystane przez atakującego do wykonania złośliwego kodu poprzez przesłanie złośliwego pliku phar, podszywającego się pod obraz.

W systemach Dell PowerProtect Data Domain w wersjach od 7.7.1.0 do 8.6 oraz w wersjach LTS2025 i LTS2024 występuje podatność na wstrzykiwanie poleceń systemowych. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do wykonania dowolnych poleceń jako użytkownik root.

Dell PowerProtect Data Domain w wersjach od 8.5 do 8.6 zawiera podatność na niewłaściwą walidację danych wejściowych. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami roota.

Podatność w Dell PowerProtect Data Domain, wersje 7.7.1.0 do 8.6 oraz LTS2025 i LTS2024, polega na niewłaściwej walidacji danych wejściowych. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami roota.

ConnectWise wydał aktualizację zabezpieczeń dla ConnectWise Automate™, która rozwiązuje problem z komunikacją klient-serwer w Solution Center, gdzie niektóre połączenia mogły odbywać się bez szyfrowania na warstwie transportowej. Problem został rozwiązany w wersji Automate 2026.4 poprzez wymuszenie bezpiecznej komunikacji dla dotkniętych połączeń Solution Center.

Vvveb prior to version 1.0.8.1 contains a server-side request forgery (SSRF) vulnerability in the oEmbedProxy action of the editor/editor module. The url parameter is passed directly to getUrl() via curl without scheme or destination validation. Authenticated backend users can supply file:// URLs to read arbitrary files readable by the web server process or http:// URLs targeting internal network addresses to probe internal services, with response bodies returned directly to the caller.

Vvveb prior to version 1.0.8.1 contains a privilege escalation vulnerability in the admin user profile save endpoint. Authenticated users can modify privileged fields on their own profile by injecting role_id=1, escalating to Super Administrator privileges and enabling remote code execution via plugin upload.

W systemach Dell PowerProtect Data Domain w wersjach od 7.7.1.0 do 8.6 oraz LTS2025 w wersji 8.3.1.0 do 8.3.1.20 i LTS2024 w wersjach od 7.13.1.0 do 7.13.1.60 występuje luka związana z brakiem uwierzytelnienia dla krytycznej funkcji. Atakujący bez uwierzytelnienia zdalnie może wykorzystać tę podatność, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami roota.

Vexa to otwartoźródłowy, samodzielny bot do spotkań oraz API do transkrypcji spotkań. W wersjach przed 0.10.0-260419-1910 usługa zbierania transkrypcji Vexa udostępnia wewnętrzny punkt końcowy `GET /internal/transcripts/{meeting_id}`, który zwraca dane transkrypcyjne dla każdego spotkania bez jakichkolwiek kontroli uwierzytelniania lub autoryzacji.

Dell PowerProtect Data Domain z systemem operacyjnym Data Domain (DD OS) w wersjach od 7.7.1.0 do 8.5 oraz w wersjach LTS2025 i LTS2024 zawiera podatność na wstrzyknięcie poleceń systemowych. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do wykonania dowolnych poleceń.

CVE-2026-4048 is a remote code execution vulnerability via OS command injection in the user interface of Progress ADC products. It allows an authenticated attacker with 'All' permissions to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in a WAF rule file during the file upload process.

CVE-2026-3519 is a remote code execution vulnerability via OS command injection in the API of Progress ADC products. It allows an authenticated attacker with 'VS Administration' permissions to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in the 'aclcontrol' command.

CVE-2026-3518 identifies a vulnerability in the API of Progress ADC products that allows remote code execution via OS command injection. An authenticated attacker with 'All' permissions can exploit unsanitized input in the 'killsession' command to execute arbitrary commands on the LoadMaster appliance.

CVE-2026-3517 is a remote code execution vulnerability via OS command injection in the API of Progress ADC products. It allows an authenticated attacker with 'Geo Administration' permissions to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in the 'addcountry' command.

Wykryto podatność w rowboatlabs rowboat do wersji 0.1.67, która wpływa na funkcję tool_call w pliku apps/experimental/tools_webhook/app.py komponentu tools_webhook. Manipulacja argumentem X-Tools-JWE prowadzi do niewłaściwej autoryzacji.