CVE Vulnerability Catalog

Podatność CVE-2026-5494 dotyczy oprogramowania Labcenter Electronics Proteus i polega na możliwości zdalnego wykonania dowolnego kodu poprzez nieprawidłowe przetwarzanie plików PDSPRJ. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2026-5493 dotyczy oprogramowania Labcenter Electronics Proteus i polega na możliwości wykonania zdalnego kodu poprzez nieprawidłowe przetwarzanie plików PDSPRJ. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność NoMachine pozwala lokalnym atakującym na eskalację uprawnień na zainfekowanych instalacjach. Problem występuje w NoMachine Device Server, który ładuje bibliotekę z niebezpiecznej lokalizacji.

Podatność NoMachine umożliwia lokalnym atakującym eskalację uprawnień na zainfekowanych instalacjach. Problem wynika z niewłaściwego sprawdzania parametrów wiersza poleceń, co pozwala na wykorzystanie dostarczonej przez użytkownika ścieżki w operacjach na plikach.

Podatność NoMachine pozwala lokalnym atakującym na usunięcie dowolnych plików na zainfekowanych instalacjach. Problem wynika z niewłaściwego sprawdzania zmiennych środowiskowych przed ich użyciem w operacjach na plikach.

Podatność w konfiguracji OpenSSL w KeePassXC umożliwia lokalnym atakującym eskalację uprawnień. Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach na docelowym systemie, aby móc wykorzystać tę podatność.

Podatność CVE-2026-4157 dotyczy urządzeń ChargePoint Home Flex i pozwala atakującym z sieci lokalnej na zdalne wykonanie dowolnego kodu. Problem wynika z niewłaściwego przetwarzania wiadomości OCPP, co umożliwia atakującemu wykorzystanie niezweryfikowanego ciągu znaków do wykonania polecenia systemowego.

Podatność w ChargePoint Home Flex OCPP umożliwia zdalne wykonanie kodu poprzez przepełnienie bufora na stosie. Problem wynika z braku odpowiedniej walidacji długości danych dostarczanych przez użytkownika przed ich skopiowaniem do bufora o stałej długości.

Podatność CVE-2026-4155 dotyczy stacji ładowania ChargePoint Home Flex, która umożliwia zdalnym atakującym ujawnienie wrażliwych informacji. Problem wynika z obecności tajnego klucza kryptograficznego w skrypcie genpw, co pozwala na ujawnienie zapisanych poświadczeń.

A vulnerability in GIMP allows remote code execution during XPM file parsing. The issue stems from missing validation of user-supplied data, leading to an integer overflow before buffer allocation. User interaction is required (opening a malicious file or page).

A heap-based buffer overflow vulnerability in GIMP's PSP file parsing allows remote code execution. Exploitation requires user interaction, such as opening a malicious file or visiting a malicious page.

A heap-based buffer overflow vulnerability in GIMP's JP2 file parsing allows remote code execution. Exploitation requires user interaction, such as opening a malicious file or visiting a malicious page.

Integer overflow vulnerability in GIMP ANI file parsing allows remote code execution. User interaction is required via opening a malicious file or visiting a malicious page.

A vulnerability in GIMP allows remote code execution through parsing of PSD files. The issue stems from missing validation of user-supplied data, leading to an integer overflow before buffer allocation. User interaction is required (opening a malicious file or page).

Podatność CVE-2026-3690 dotyczy systemu OpenClaw i pozwala zdalnym atakującym na ominięcie procesu uwierzytelniania. Problem wynika z nieprawidłowej implementacji funkcji uwierzytelniania dla punktów końcowych canvas.

Wersje Net::CIDR::Lite przed 0.23 dla Perla nie weryfikują liczby grup IPv6, co może prowadzić do obejścia kontroli dostępu IP. Funkcja _pack_ipv6() akceptuje niepoprawne adresy IPv6, co skutkuje błędnymi wartościami długości.

FastGPT to platforma do budowania agentów AI. W wersjach przed 4.14.10.4 występuje podatność na złamanie kontroli dostępu (IDOR/BOLA), która pozwala każdemu uwierzytelnionemu zespołowi na dostęp i uruchamianie aplikacji należących do innych zespołów poprzez podanie obcego appId.

Arcane to interfejs do zarządzania kontenerami Docker, obrazami, sieciami i wolumenami. W wersjach przed 1.17.3, punkt końcowy /api/templates/fetch akceptuje parametr url dostarczany przez wywołującego i wykonuje żądanie HTTP GET do tego URL bez uwierzytelnienia oraz bez walidacji schematu URL lub hosta. Odpowiedź serwera jest zwracana bezpośrednio do wywołującego.

Podatność w goshs, prostym serwerze HTTP napisanym w Go, występuje w wersjach od 1.0.7 do przed 2.0.0-beta.4. Komenda SFTP 'rename' sanitizuje jedynie ścieżkę źródłową, co pozwala na zapis poza katalogiem głównym SFTP.

TREK to narzędzie do wspólnego planowania podróży. W wersjach przed 2.7.2 brakowało w nim kontroli autoryzacji na trasach zarządzania zdjęciami podróży Immich. Ta podatność została naprawiona w wersji 2.7.2.