CVE Vulnerability Catalog

A malicious mail server could send malformed strings with negative lengths, causing the parser to read memory outside the buffer. If a mail server or connection to a mail server were compromised, an attacker could cause the parser to malfunction, potentially crashing Thunderbird or leaking sensitive data.

Injection vulnerabilities in ActiveMatrix BusinessWorks and Enterprise Administrator are due to insufficient validation and sanitization of user-supplied input. They allow information disclosure, including exposure of local files and host system details, and may allow manipulation of application behavior.

Framework NVIDIA NeMo zawiera podatność, która umożliwia zdalne wykonanie kodu przez atakującego. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

Serwer wnioskowania NVIDIA Triton zawiera podatność w punkcie końcowym HTTP, która pozwala atakującemu na spowodowanie odmowy usługi poprzez dostarczenie dużego skompresowanego ładunku. Udany atak może prowadzić do odmowy usługi.

Framework NVIDIA NeMo zawiera podatność w ładowaniu punktów kontrolnych, która może umożliwić zdalne wykonanie kodu przez atakującego. Skuteczne wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Megatron-LM zawiera podatność w ładowaniu punktów kontrolnych, która może umożliwić zdalne wykonanie kodu (RCE) poprzez nakłonienie użytkownika do załadowania złośliwie przygotowanego pliku. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Megatron-LM zawiera podatność w procesie wnioskowania, która pozwala atakującemu na zdalne wykonanie kodu (RCE) poprzez nakłonienie użytkownika do załadowania złośliwie przygotowanego wejścia. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Megatron-LM zawiera podatność w ładowaniu punktów kontrolnych, która może umożliwić zdalne wykonanie kodu (RCE) poprzez nakłonienie użytkownika do załadowania złośliwie przygotowanego pliku. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Model Optimizer dla systemów Windows i Linux zawiera podatność w funkcji kwantyzacji ONNX, która pozwala na niebezpieczną deserializację przy użyciu specjalnie przygotowanego pliku wejściowego. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi oraz ujawnienia informacji.

Serwer wnioskowania NVIDIA Triton zawiera podatność, która może prowadzić do uszkodzenia wewnętrznego stanu. Udane wykorzystanie tej podatności może skutkować odmową usługi.

NVIDIA Megatron-LM zawiera podatność w skrypcie konwersji hybrydowej, która umożliwia atakującemu zdalne wykonanie kodu (RCE) poprzez nakłonienie użytkownika do załadowania złośliwie przygotowanego pliku. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Megatron LM zawiera podatność w ładowaniu konfiguracji kwantyzacji, która może umożliwić zdalne wykonanie kodu. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

Serwer HTTP NVIDIA Triton Inference Server Sagemaker zawiera podatność, która pozwala atakującemu na wywołanie wyjątku. Udane wykorzystanie tej podatności może prowadzić do odmowy usługi.

pyLoad to darmowy menedżer pobierania napisany w Pythonie. W wersjach od 0.4.0 do przed wersją 0.5.0b3.dev97, punkt końcowy API set_config_value() pozwala użytkownikom z uprawnieniami SETTINGS na modyfikację dowolnej opcji konfiguracyjnej bez ograniczeń, co może prowadzić do zdalnego wykonania kodu.

MinIO to system przechowywania obiektów o wysokiej wydajności. Przed wersją RELEASE.2026-03-17T21-25-16Z, punkt końcowy AssumeRoleWithLDAPIdentity w usłudze STS (Security Token Service) był podatny na ataki brute-force na poświadczenia LDAP z powodu dwóch połączonych słabości: rozróżnialnych odpowiedzi błędów umożliwiających enumerację nazw użytkowników oraz braku ograniczeń liczby prób uwierzytelnienia.

Dagu to silnik workflow z wbudowanym interfejsem użytkownika w sieci. W wersjach od 2.0.0 do przed 2.3.1, niektóre API nie weryfikowały poprawności nazwy DAG, co pozwalało na przechodzenie poza katalogi DAG przy użyciu zakodowanych ukośników w parametrach URL.

NiceGUI to framework UI oparty na Pythonie. W wersjach przed 3.9.0, metody app.add_media_file() i app.add_media_files() akceptują parametr zapytania kontrolowany przez użytkownika, który wpływa na sposób odczytu plików podczas strumieniowania, co może prowadzić do problemów z wydajnością.

W narzędziu oRPC, które służy do budowy API zgodnych z OpenAPI, przed wersją 1.13.9 występowała podatność na przechowywane ataki XSS w generowanej dokumentacji OpenAPI. Atakujący, mając kontrolę nad dowolnym polem w specyfikacji OpenAPI, mógł wykonać dowolny kod JavaScript podczas przeglądania dokumentacji API przez użytkownika.

FileRise to samodzielnie hostowany menedżer plików / serwer WebDAV. Przed wersją 3.10.0 występował problem z kontrolą dostępu w integracji z ONLYOFFICE, który pozwalał uwierzytelnionemu użytkownikowi z dostępem tylko do odczytu uzyskać podpisany adres URL zwrotny do zapisu pliku i bezpośrednio sfałszować ten adres URL, aby nadpisać plik treścią kontrolowaną przez atakującego.

FileRise to samodzielnie hostowany menedżer plików i serwer WebDAV. W wersjach od 1.0.1 do przed 3.10.0 parametr resumableIdentifier w obsłudze przesyłania chunków (UploadModel::handleUpload()) jest bezpośrednio łączony z ścieżkami systemu plików bez żadnej sanitizacji.