CVE Vulnerability Catalog

fast-xml-parser umożliwia przetwarzanie XML z obiektów JS bez użycia bibliotek opartych na C/C++ lub callbacków. Wersje od 4.0.0-beta.3 do 5.5.5 zawierają podatność, która pozwala na obejście limitów rozszerzania encji przez numeryczne odniesienia znaków oraz standardowe encje XML.

Axios to klient HTTP oparty na obietnicach dla przeglądarki i Node.js. W wersjach od 0.28.0 do 0.30.2 oraz 1.12.0, gdy Axios działa na Node.js i otrzymuje URL z schematem `data:`, nie wykonuje żądania HTTP, lecz dekoduje cały ładunek do pamięci.

Underscore.js to biblioteka narzędziowa dla JavaScript. W wersjach przed 1.13.8 funkcje _.flatten i _.isEqual wykorzystują rekurencję bez limitu głębokości, co w określonych warunkach może prowadzić do ataku typu Denial of Service (DoS) poprzez wywołanie przepełnienia stosu.

Pakiet npm `expr-eval` jest podatny na zanieczyszczenie prototypu. Atakujący, mając dostęp do interfejsu express eval, może wykorzystać model dziedziczenia oparty na prototypach w JavaScript do wykonania dowolnego kodu.

protobufjs kompiluje definicje protobuf do funkcji JavaScript. W wersjach przed 7.5.6 i 8.0.2, protobufjs pozwalał na przechodzenie przez dziedziczone właściwości obiektów podczas stosowania opcji, co mogło prowadzić do nieprawidłowego przetwarzania opcji.

Pakiet npm serialize-javascript (wersje <= 7.0.2) zawiera podatność na wstrzykiwanie kodu. Jest to niekompletne rozwiązanie dla CVE-2020-7660.

libcurl's ASN1 parser has this utf8asn1str() function used for parsing an ASN.1 UTF-8 string. It can detect an invalid field and return error. Unfortunately, when doing so it also invokes `free()` on a 4 byte local stack buffer. Most modern malloc implementations detect this error and immediately abort.

Git is a fast, scalable, distributed revision control system. When cloning a repository Git knows to optionally fetch a bundle advertised by the remote server, which allows the server-side to offload.

musl libc 0.9.13 through 1.2.5 before 1.2.6 has an out-of-bounds write vulnerability when an attacker can trigger iconv conversion of untrusted EUC-KR text to UTF-8.

runc is a CLI tool for spawning and running containers according to the OCI specification. Versions 1.0.0-rc3 through 1.2.7, 1.3.0-rc.1 through 1.3.2, and 1.4.0-rc.1 through 1.4.0-rc.2, due to insufficient checks when bind-mounting `/dev/pts/$n` to `/dev/console` inside the container, an attacker can...

node-tar to pełnoprawne narzędzie Tar dla Node.js. Przed wersją 7.5.11, tar (npm) może być oszukany w celu utworzenia symlinków wskazujących poza katalog ekstrakcji, co umożliwia nadpisywanie plików poza bieżącym katalogiem roboczym.

The wheels of pyca/cryptography include a statically linked copy of OpenSSL. The versions of OpenSSL included in wheels prior to cryptograph 48.01 are vulnerable to a security issue.

W GnuPG przed wersją 2.4.9 występuje błąd w funkcji armor_filter w pliku g10/armor.c, który powoduje dwa inkrementacje zmiennej indeksowej, podczas gdy powinna być tylko jedna. To prowadzi do zapisu poza przydzielonym obszarem pamięci dla spreparowanego wejścia.

A vulnerability in the virtio-gpu module of the Linux kernel involves an incorrect overflow check when allocating 2D images. This flaw can lead to a buffer overflow, potentially enabling privilege escalation or system crash.

Improper escaping of output in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows an attacker to map URLs to filesystem locations that are permitted to be served but not directly reachable, leading to code execution or source code disclosure.

A divide-by-zero error was discovered in py-lmdb 0.97 in the mdb_env_open2 function when mdb_env_read_header obtains a zero value for a certain size field. This issue can be triggered by supplying a crafted data.mdb file.

A use-after-free and double-free vulnerability was found in the c-ares library in the query-completion handling path. The flaw occurs when a query callback is invoked while the query is still linked in internal lookup structures. A remote attacker can exploit this via ares_getaddrinfo() over TCP by sending crafted data.

W jądrze systemu Linux zidentyfikowano podatność w module AppArmor, która dotyczy walidacji stanów początkowych DFA w funkcji unpack_pdb. Stany początkowe są odczytywane z niezaufanych danych i mogą prowadzić do odczytu poza granicami tablic stanów DFA, co skutkuje błędem.

Biblioteka urllib3, używana do obsługi HTTP w Pythonie, ma problem z nieprawidłowym przetwarzaniem silnie skompresowanych danych w API strumieniowym. Problem ten występuje od wersji 1.0 do 2.6.0.

Podatność dotyczy niektórych pakietów React Server Components w wersjach 19.x oraz frameworków, które używają tych pakietów, w tym Next.js w wersjach 13.x, 14.x, 15.x i 16.x korzystających z App Router. Problem jest śledzony w systemie jako CVE-2026-23870.