CVE Vulnerability Catalog

go-ethereum (geth) to implementacja warstwy wykonawczej protokołu Ethereum w języku golang. Przed wersją 1.16.9, podatny węzeł może zostać zmuszony do zamknięcia lub awarii za pomocą specjalnie przygotowanej wiadomości.

W `httpsig-hyper` przed wersją 0.0.23 wystąpił problem z weryfikacją nagłówka Digest, który mógł niepoprawnie zwracać sukces z powodu niewłaściwego użycia makra `matches!` w Rust. W rezultacie, weryfikacja digestu mogła nie wykrywać modyfikacji treści wiadomości HTTP.

RustFly w wersji 2.0.0 zawiera podatność na wstrzykiwanie poleceń w swoim zdalnym mechanizmie kontroli UI, który akceptuje instrukcje zakodowane w formacie hex przez port UDP 5005 bez odpowiedniej sanitizacji. Atakujący mogą wysyłać spreparowane ładunki hex, które zawierają polecenia systemowe do wykonania dowolnych operacji na docelowym systemie.

W podatności CVE-2026-27343 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy wersji Airtifact od n/a do 1.2.91 włącznie.

NanaZip to otwartoźródłowy program do archiwizacji plików. W wersjach od 5.0.1252.0 do 6.0.1630.0 występuje problem z cyklicznymi łańcuchami `NextOffset`, co prowadzi do nieskończonej pętli w parserze archiwów ROMFS. Problem został naprawiony w wersji 6.0.1630.0.

W go-ethereum (geth), przed wersją 1.17.0, atakujący mógł spowodować wysokie zużycie pamięci poprzez wysłanie specjalnie przygotowanej wiadomości p2p. Problem został rozwiązany w wersji 1.17.0.

SillyTavern to lokalnie zainstalowany interfejs użytkownika, który umożliwia interakcję z modelami generacji tekstu oraz obrazów. W wersjach przed 1.16.0 występuje podatność typu Server-Side Request Forgery (SSRF) w punkcie końcowym pobierania zasobów, która pozwala uwierzytelnionym użytkownikom na wykonywanie dowolnych żądań HTTP z serwera oraz odczytywanie pełnej odpowiedzi, co umożliwia dostęp do wewnętrznych usług i zasobów sieci prywatnej.

W RUCKUS Network Director (RND) w wersjach poniżej 4.5.0.56, urządzenie OVA zawiera hardkodowane klucze SSH dla użytkownika postgres. Klucze te są identyczne we wszystkich wdrożeniach, co umożliwia atakującemu z dostępem do sieci uwierzytelnienie się przez SSH bez hasła.

Fabric.js to biblioteka JavaScript do obsługi HTML5 canvas. W wersjach przed 7.2.0, podczas eksportu SVG, nieprawidłowo obsługiwano wartości tekstowe, co pozwalało na wstrzykiwanie niebezpiecznych elementów SVG przez atakującego.

The systeminformation library for Node.js prior to version 5.31.0 is vulnerable to command injection via unsanitized `locate` output in the `versions()` function. An attacker can exploit this flaw to execute arbitrary system commands.

The systeminformation library for Node.js contains a command injection vulnerability in the `wifiNetworks()` function. In the retry code path, the `iface` parameter is not sanitized, allowing an attacker to execute arbitrary OS commands.

A vulnerability in the fast-xml-parser library allows a DoS attack via unlimited entity expansion. Even a small XML file can cause prolonged processing and freeze the application.

Podatność w soroban-sdk, przed wersjami 22.0.10, 23.5.2 i 25.1.1, dotyczy błędu w makrze `#[contractimpl]`, które niewłaściwie łączy wywołania funkcji. W przypadku zdefiniowania funkcji o tej samej nazwie w bloku `impl MyContract`, wywoływana jest funkcja inherentna zamiast funkcji z traitu, co może prowadzić do pominięcia ważnych kontroli bezpieczeństwa.

The opa-envoy-plugun plugin before version 1.13.2-envoy-2 has a vulnerability in how the `input.parsed_path` field is constructed. HTTP request paths are treated as full URIs, causing leading path segments prefixed with double slashes (`//`) to be interpreted as authority components and dropped from the parsed path. This creates a path interpretation mismatch between authorization policies and backend servers.

Penpot to narzędzie do projektowania i współpracy nad kodem, które przed wersją 2.13.2 pozwalało uwierzytelnionym użytkownikom na odczyt dowolnych plików z serwera, podając lokalną ścieżkę pliku jako część danych czcionki w punkcie końcowym `create-font-variant`. To prowadzi do możliwości odczytu wrażliwych plików systemowych i danych aplikacji.

emp3r0r to system C2 zaprojektowany przez użytkowników Linuksa dla środowisk Linuksowych. W wersjach przed 3.21.2, wiele współdzielonych map jest dostępnych bez spójnej synchronizacji między goroutines, co może prowadzić do awarii procesu C2.

In HDF5 prior to version 1.14.4-2, a write-based heap buffer overflow vulnerability exists that can be triggered by a crafted `h5` file. An attacker can cause a denial-of-service (DoS) and potentially remote code execution (RCE) depending on exploitability.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.6.44 pozwalała na modyfikację historii czatu, co umożliwiało ustawienie właściwości `embeds` w wiadomości odpowiedzi. To prowadziło do przechowywanego ataku XSS, który można było wykorzystać poprzez linki udostępniane innym użytkownikom.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.7.0 pozwalała na ręczne modyfikowanie historii czatu, co umożliwiało ustawienie właściwości `html` w metadanych dokumentu. To prowadziło do sytuacji, w której zawartość dokumentu była traktowana jako HTML i renderowana w iFrame podczas podglądu cytatu, co skutkowało możliwością przeprowadzenia ataku XSS.

CediPay is a crypto-to-fiat app for the Ghanaian market. A vulnerability in versions prior to 1.2.3 allows attackers to bypass input validation in the transaction API. The issue has been fixed in version 1.2.3.