CVE Vulnerability Catalog

In NLTK (Natural Language Toolkit) versions 3.9.3 and prior, the downloader does not validate the `subdir` and `id` attributes when processing remote XML index files. Attackers can control a remote XML index server to provide malicious values containing path traversal sequences (such as `../`), leading to arbitrary directory creation, arbitrary file creation, and arbitrary file overwrite.

A vulnerability in NLTK (Natural Language Toolkit) versions 3.9.3 and earlier allows an unauthenticated remote attacker to shut down the local WordNet Browser HTTP server by sending a GET /SHUTDOWN%20THE%20SERVER request. This causes immediate process termination via os._exit(0), resulting in a denial of service (DoS).

Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. W wersjach od 3.30.6 i wcześniejszych, punkt końcowy podglądu zapytań źródła danych REST (POST /api/queries/preview) wykonuje żądania HTTP po stronie serwera do dowolnego URL dostarczonego przez użytkownika w polu fields.path bez walidacji.

SimpleJWT to prosta biblioteka JSON web token napisana w PHP. Przed wersją 1.1.1, nieautoryzowany atakujący mógł przeprowadzić atak typu Denial of Service poprzez manipulację nagłówkiem JWE, gdy używane były algorytmy PBES2.

SiYuan to system zarządzania wiedzą osobistą. W wersjach przed 3.6.2 serwer WebSocket jądra SiYuan akceptuje nieautoryzowane połączenia, gdy obecny jest określony parametr zapytania 'auth keepalive'. Po nawiązaniu połączenia, przychodzące wiadomości są analizowane przy użyciu niekontrolowanych asercji typów na JSON kontrolowanym przez atakującego.

HAPI FHIR before version 6.9.0 sends the same HTTP headers to all hosts during redirects, potentially leaking sensitive data or allowing request impersonation.

The WebSocket backend uses charging station identifiers to uniquely associate sessions but allows multiple endpoints to connect using the same session identifier. This implementation results in predictable session identifiers, enabling session hijacking or shadowing.

The WebSocket Application Programming Interface lacks restrictions on the number of authentication requests. This absence of rate limiting may allow an attacker to conduct denial-of-service attacks or brute-force attacks to gain unauthorized access.

The WebSocket Application Programming Interface lacks restrictions on the number of authentication requests. This absence of rate limiting may allow an attacker to conduct denial-of-service attacks or brute-force attacks to gain unauthorized access.

The WebSocket backend uses charging station identifiers to uniquely associate sessions but allows multiple endpoints to connect using the same session identifier. This leads to predictable session identifiers, enabling session hijacking or shadowing.

Podatność CVE-2026-22163 dotyczy niewłaściwego użycia interfejsu IOCTL modułu jądra DDK przez złośliwe oprogramowanie. Umożliwia to modyfikację GPU w sposób pozwalający na zapisywanie do dowolnych stron pamięci fizycznej.

Statamic to system zarządzania treścią (CMS) oparty na Laravel i Git. Przed wersjami 5.73.14 i 6.7.0 istniała podatność na XSS typu stored w ponownym przesyłaniu zasobów SVG, która pozwalała uwierzytelnionym użytkownikom z uprawnieniami do przesyłania zasobów na ominięcie sanitizacji SVG i wstrzyknięcie złośliwego JavaScriptu, który był wykonywany podczas wyświetlania zasobu.

Allure 2 w wersji 2.x, narzędzie do raportowania testów, jest podatne na odczyt dowolnych plików poprzez przejście ścieżki w wersjach przed 2.38.0. Atakujący może stworzyć złośliwy plik wynikowy, który wskazuje na wrażliwy plik w systemie gospodarza, co skutkuje jego uwzględnieniem w końcowym raporcie.

ArcSearch dla systemu Android w wersjach przed 1.12.7 może wyświetlać inna domenę w pasku adresu niż treść, która jest pokazywana, co umożliwia oszustwo w pasku adresu po interakcji użytkownika z przygotowanymi treściami internetowymi.

A security issue was discovered in the Feast Feature Server's `/read-document` endpoint that allows an unauthenticated remote attacker to read any file accessible to the server process. By sending a specially crafted HTTP POST request, an attacker can bypass intended access restrictions to potentially retrieve sensitive system files, application configurations, and credentials.

In libde265 (an open source H.265 codec implementation), a malformed H.265 PPS NAL unit causes a segmentation fault in pic_parameter_set::set_derived_values(). The issue is patched in version 1.0.17.

ScreenToGif to narzędzie do nagrywania ekranu, które w wersjach od 2.42.1 i wcześniejszych jest podatne na atak DLL sideloading poprzez plik version.dll. Gdy wykonywalny plik jest uruchamiany z katalogu zapisywalnego przez użytkownika, ładowany jest version.dll z katalogu aplikacji zamiast z katalogu System32 Windows, co pozwala na wykonanie dowolnego kodu w kontekście użytkownika.

W projekcie DeepDiff, od wersji 5.0.0 do przed wersją 8.6.2, mechanizm deserializacji _RestrictedUnpickler nie ogranicza argumentów konstruktora klas, które mogą być ładowane. To może prowadzić do sytuacji, w której niewielki ładunek pickle (40 bajtów) może wymusić alokację pamięci przekraczającą 10 GB, co powoduje awarie aplikacji.

Dynaconf to narzędzie do zarządzania konfiguracją w Pythonie. W wersjach przed 3.2.13, Dynaconf jest podatny na atak typu Server-Side Template Injection (SSTI) z powodu niebezpiecznej ewaluacji szablonów w resolverze @Jinja.

Socket.IO to otwartoźródłowy framework komunikacyjny w czasie rzeczywistym. W wersjach przed 3.3.5, 3.4.4 i 4.2.6, specjalnie skonstruowany pakiet Socket.IO może spowodować, że serwer będzie czekał na dużą liczbę binarnych załączników i buforował je, co może prowadzić do wyczerpania pamięci serwera.