CVE Vulnerability Catalog

Podatność CVE-2026-21378 dotyczy uszkodzenia pamięci, które występuje podczas przetwarzania IOCTL w sterowniku czujnika kamery, gdy dostęp do bufora wyjściowego nie jest odpowiednio walidowany pod kątem jego rozmiaru.

Podatność CVE-2026-21376 dotyczy uszkodzenia pamięci, które występuje podczas przetwarzania IOCTL w sterowniku czujnika kamery, gdy dostęp do bufora wyjściowego nie jest odpowiednio walidowany pod kątem jego rozmiaru.

Podatność CVE-2026-21375 dotyczy uszkodzenia pamięci, które występuje podczas przetwarzania IOCTL, gdy dostęp do bufora wyjściowego nie jest odpowiednio walidowany pod kątem jego rozmiaru. Może to prowadzić do nieprzewidzianych zachowań systemu.

Podatność CVE-2026-21374 dotyczy uszkodzenia pamięci podczas przetwarzania poleceń kontrolnych wejścia/wyjścia z dodatkowych czujników, które nie mają odpowiedniej walidacji rozmiaru bufora. Może to prowadzić do nieprzewidzianych zachowań systemu.

Podatność CVE-2026-21373 dotyczy uszkodzenia pamięci, które występuje podczas przetwarzania IOCTL, gdy dostęp do bufora wyjściowego nie jest odpowiednio walidowany pod kątem jego rozmiaru. Może to prowadzić do nieprzewidzianych zachowań systemu.

Podatność CVE-2026-21372 dotyczy uszkodzenia pamięci, które występuje podczas wysyłania żądań IOCTL z nieprawidłowymi rozmiarami buforów w trakcie operacji memcpy. Może to prowadzić do nieprzewidzianego zachowania systemu.

Podatność CVE-2026-21371 dotyczy uszkodzenia pamięci, które występuje podczas pobierania bufora wyjściowego bez odpowiedniej walidacji rozmiaru. Może to prowadzić do nieprzewidzianego zachowania aplikacji.

Podatność CVE-2026-21367 dotyczy przejściowego ataku DoS, który występuje podczas przetwarzania niestandardowych ramek odkrywania FILS z rozmiarami akcji poza zakresem podczas początkowych skanów.

Problem kryptograficzny związany z kopiowaniem danych do bufora docelowego bez weryfikacji jego rozmiaru. Może to prowadzić do nieautoryzowanego dostępu do danych lub ich uszkodzenia.

Podatność CVE-2025-47392 dotyczy uszkodzenia pamięci podczas dekodowania uszkodzonych plików danych satelitarnych z nieprawidłowymi przesunięciami sygnatury. Może to prowadzić do nieprzewidzianego zachowania aplikacji.

Podatność CVE-2025-47391 dotyczy uszkodzenia pamięci podczas przetwarzania żądania ramki od użytkownika. Może to prowadzić do nieprzewidzianego zachowania aplikacji.

Podatność CVE-2025-47390 dotyczy uszkodzenia pamięci podczas wstępnego przetwarzania żądania IOCTL w sterowniku JPEG. Może to prowadzić do nieprzewidzianego zachowania systemu lub awarii aplikacji.

Podatność CVE-2025-47389 dotyczy uszkodzenia pamięci, które występuje, gdy operacja kopiowania bufora kończy się niepowodzeniem z powodu przepełnienia całkowitego podczas generowania raportu atestacyjnego.

Twitch Studio w wersji 0.114.8 i wcześniejszych zawiera podatność na eskalację uprawnień w narzędziu pomocniczym, która pozwala lokalnym atakującym na wykonanie dowolnego kodu jako root poprzez wykorzystanie niechronionej usługi XPC. Atakujący mogą wywołać metodę installFromPath:toPath:withReply:, aby nadpisać pliki systemowe i uprzywilejowane binaria, co prowadzi do pełnego kompromitacji systemu.

Wykryto lukę bezpieczeństwa w OFFIS DCMTK do wersji 3.7.0, która wpływa na funkcję executeOnReception/executeOnEndOfStudy w pliku dcmnet/apps/storescp.cc komponentu storescp. Manipulacja tą funkcją prowadzi do wstrzyknięcia poleceń systemowych.

W podatności CVE-2026-34885 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji David Lingren Media Library Assistant. Problem dotyczy wersji od n/a do 3.34.

In pull-through cache mode, Distribution (prior to 3.1.0) discovers token auth endpoints by parsing WWW-Authenticate challenges returned by the configured upstream registry. The realm URL from a bearer challenge is used without validating that it matches the upstream registry host, allowing an attacker-controlled upstream (or an attacker in a MitM position) to cause Distribution to send the configured upstream credentials via basic auth to an attacker-controlled realm URL. The vulnerability is fixed in 3.1.0.

W Homarr, przed wersją 1.57.0, odkryto podatność typu Cross-Site Scripting (XSS) opartą na DOM w stronie /auth/login. Aplikacja niewłaściwie ufa parametrowi URL (callbackUrl), co pozwala atakującemu na stworzenie złośliwego linku, który po otwarciu przez uwierzytelnionego użytkownika wykonuje dowolny kod JavaScript w kontekście jego przeglądarki.

GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. W wersjach od 10.0.0 do przed 10.0.24 oraz 11.0.6, uwierzytelniony użytkownik może przeprowadzić atak SQL injection za pomocą funkcji eksportu logów. Ta podatność została naprawiona w wersjach 10.0.24 i 11.0.6.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. W wersjach od 11.0.0 do przed 11.0.6 występuje nieautoryzowana podatność na ślepą iniekcję SQL opartą na czasie w silniku wyszukiwania GLPI. Ta podatność została naprawiona w wersji 11.0.6.