CVE Vulnerability Catalog

NamelessMC to oprogramowanie do stron internetowych dla serwerów Minecraft. W wersji 2.2.4 plik `core/classes/Misc/ProfilePostReactionContext.php` jedynie weryfikuje istnienie postu na ścianie, nie egzekwując widoczności postów na prywatnych lub zablokowanych profilach. Umożliwia to uwierzytelnionym użytkownikom o niskich uprawnieniach dodawanie reakcji do postów na prywatnych profilach.

NamelessMC to oprogramowanie do stron internetowych dla serwerów Minecraft. W wersji 2.2.4 plik `core/classes/Misc/ProfilePostReactionContext.php` jedynie weryfikuje istnienie postu na ścianie, nie egzekwując widoczności zablokowanych/profilów prywatnych. Wersja 2.2.5 naprawia ten problem.

NamelessMC to oprogramowanie do stron internetowych dla serwerów Minecraft. W wersji 2.2.4 strona profilu (modules/Core/pages/profile.php) przetwarza zgłoszenia postów na ścianie i odpowiedzi przed weryfikacją, czy użytkownik ma uprawnienia do dostępu do profilu, co pozwala na publikowanie postów na prywatnych profilach przez użytkowników z uprawnieniem profile.post.

NamelessMC to oprogramowanie do stron internetowych dla serwerów Minecraft. W wersji 2.2.4, plik `modules/Forum/classes/ForumPostReactionContext.php` jedynie weryfikuje, czy wywołujący może przeglądać forum, ale nie egzekwuje autoryzacji na poziomie tematów `view_other_topics`. W rezultacie, w forach, gdzie użytkownicy mogą wchodzić, ale mogą przeglądać tylko swoje tematy, reakcje mogą być nadal odczytywane i modyfikowane na tematach innych użytkowników.

React Router w wersjach od 7.5.1 do 7.13.1 ma lukę, która pozwala na Cross-Site Scripting (XSS) w statycznie generowanych plikach HTML, gdy używany jest tryb Framework z włączonym pre-renderingiem i nieodpowiednio zneutralizowaną wartością nagłówka HTTP `Location`. Problem ten nie dotyczy aplikacji korzystających z trybu Deklaratywnego lub trybu Danych.

TP-Link Tapo C200 v5 zawiera lukę typu przepełnienie bufora na stosie w obsłudze uwierzytelniania RTSP, spowodowaną niewłaściwą walidacją długości pól nagłówka Authorization. Można ją wywołać za pomocą spreparowanego żądania uwierzytelniającego.

W Devolutions Server 2026.1.19 i wcześniejszych wersjach występuje niewłaściwa kontrola dostępu w komponencie walidacji uprawnień, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do edytowania wpisów na modyfikację informacji o zasobach bez wymaganych uprawnień.

W Devolutions Server 2026.1.19 i wcześniejszych wersjach występuje niewłaściwa kontrola dostępu w funkcji odkrywania kont PAM, co pozwala uwierzytelnionemu użytkownikowi bez uprawnień administracyjnych na usunięcie konfiguracji skanowania odkrywania sieci.

Funkcjonalność autouzupełniania edytora zapytań SQL w Appsmith nie sanitizuje nazw obiektów bazy danych przed ich renderowaniem w innerHTML. Umożliwia to uwierzytelnionemu deweloperowi wstrzyknięcie trwałego XSS za pomocą złośliwych nazw tabel lub kolumn, co prowadzi do wykonania dowolnego kodu w sesjach innych członków workspace'u, gdy wchodzą w interakcję z tym samym źródłem danych.

Podatność CVE-2026-49753 dotyczy niekonsekwentnej interpretacji żądań HTTP w elixir-mint, co pozwala atakującym na desynchronizację ramki odpowiedzi na współdzielonych połączeniach. Parser Content-Length w Mint akceptuje wartości z prefiksem + lub -, co jest niezgodne z RFC 7230.

OpenTelemetry eBPF Instrumentation w wersjach od 0.7.0 do przed 0.9.0 ma problem z niewłaściwym przetwarzaniem buforów writev przez log enricher OBI, który odczytuje tylko pierwszy wpis iovec, ale używa całkowitej długości iov_iter.count jako długości kopiowania. W przypadku włączonego wstrzykiwania logów, złośliwe wywołanie writev może spowodować odczyt i nadpisanie pamięci poza pierwszym segmentem.

OpenTelemetry eBPF Instrumentation przed wersją 0.9.0 zawierał problem z CappedConcurrentHashMap, który nie usuwał kluczy z kolejki przy wstawianiu, gdy wpisy były usuwane. W długoterminowych uruchomieniach JVM może to prowadzić do nieograniczonego wzrostu kolejki i wyczerpania pamięci sterty.

OpenTelemetry eBPF Instrumentation przed wersją 0.9.0 używa 256-bajtowego bufora zapasowego, ale zachowuje oryginalny rozmiar ładunku, który może wynosić do 8KB. W przypadku niezgodności CPU, OBI może odczytać dane poza buforem zapasowym, co prowadzi do wycieku pamięci sąsiedniej do telemetrii.

OpenTelemetry eBPF Instrumentation przed wersją 0.9.0 miało problem z wydajnością, gdzie OBI odtwarzało trafienia probe BPF w obserwacjach histogramu, co prowadziło do nadmiernego obciążenia CPU na zajętych systemach. Problem ten został naprawiony w wersji 0.9.0.

OpenTelemetry eBPF Instrumentation przed wersją 0.9.0 eksportuje surowe komunikaty o błędach Redis jako wiadomości statusu span. Może to prowadzić do wycieku tokenów, danych osobowych lub innych poufnych informacji do systemów telemetrycznych.

OpenTelemetry eBPF Instrumentation przed wersją 0.9.0 zawierał parser ELF, który ufał wskaźnikom sekcji oraz przesunięciom w plikach wykonywalnych. Złośliwie skonstruowany lokalny plik ELF mógł spowodować dereferencję nieprawidłowych wskaźników sekcji, co prowadziło do paniki agenta podczas określania języka procesu.

NiceGUI to framework UI oparty na Pythonie. W wersjach przed 3.12.0, dwa endpointy FastAPI obsługujące statyczne zasoby per-komponentowe akceptują parametr sub-ścieżki, który może prowadzić do katalogu zamiast pliku, co skutkuje nieobsłużonym błędem RuntimeError.

Klaw to narzędzie do zarządzania i nadzorowania tematów Apache Kafka. W wersjach przed 2.10.4 występował problem z niewłaściwą kontrolą dostępu, który umożliwiał ujawnienie hasha hasła. Problem ten został naprawiony w wersji 2.10.4.

W wersji 4.1.1 oprogramowania Transmission zidentyfikowano podatność typu clickjacking w interfejsie WebUI oraz w ścieżkach odpowiedzi RPC. Atakujący może wykorzystać tę lukę do oszukania użytkowników i zmuszenia ich do wykonania niezamierzonych działań.

A path traversal vulnerability in the /admin/downloadMedias.cgi endpoint of VIVOTEK INC FD8136-VVTK firmware 0300a allows authenticated attackers to read any file on the device via sending a crafted request.