CVE Vulnerability Catalog

Picomatch to matcher glob napisany w JavaScript. Wersje przed 4.0.4, 3.0.2 i 2.3.2 są podatne na atak typu Regular Expression Denial of Service (ReDoS) podczas przetwarzania stworzonych wzorców extglob.

Multiple security vulnerabilities have been identified in the grpc-go library affecting the xDS RBAC authorization engine and the HTTP/2 transport server implementation. These vulnerabilities could lead to authorization bypass (Fail-Open) during rule translation.

A vulnerability in the virtio-gpu module of the Linux kernel involves an incorrect overflow check when allocating 2D images. This flaw can lead to a buffer overflow, potentially enabling privilege escalation or system crash.

GitPython's config-name validator only neutralizes CR/LF/NUL for the "option" label; it does not reject =, #, ;, [, ], or whitespace in an option name. write_section writes the option name verbatim into the config file, so an option name such as sshCommand = touch <cmd> can inject configuration.

Multiple cases were found in aiohttp where excessive or unbounded memory use, or excessive CPU consumption, can be triggered by attacker-controlled requests. An attacker could cause resource exhaustion through specially crafted requests.

A call to the token endpoint with a grant type of urn:ietf:params:oauth:grant-type:device_code and a bogus device_code can obtain a bearer token as long as a valid client ID enabled for the device workflow is known. This violates RFC 8628.

Pillow wheels from 11.1.0 onward bundle a libopenjp2 containing a heap-buffer-overflow write that is fixed upstream on master but has never appeared in an OpenJPEG release. Because the wheel bundles its own copy, a patched host library does not protect against the issue.

The description of this report does not contain sufficient technical information about the vulnerability — it only includes a note about the reporting method and references to files that were not attached. The nature and scope of the issue cannot be determined from it.

In Pillow's libtiff encoder (PyImaging_LibTiffEncoderNew in src/encode.c), crafted TIFF tags can cause memory disclosure and a segfault. The issue occurs when creating the LibTiff encoder.

GitPython spent 2022-2026 rolling out two reusable guards method-by-method: Git.check_unsafe_protocols(url) (raises UnsafeProtocolError for <transport>:: remote-helper URLs) and Git.check_unsafe_options(...) (raises UnsafeOptionError for denylisted options). The description indicates the rollout did not cover all code paths.

The wheels of pyca/cryptography include a statically linked copy of OpenSSL. The versions of OpenSSL included in wheels prior to cryptograph 48.01 are vulnerable to a security issue.

node-tar to pełnoprawne narzędzie Tar dla Node.js. Przed wersją 7.5.11, tar (npm) może być oszukany w celu utworzenia symlinków wskazujących poza katalog ekstrakcji, co umożliwia nadpisywanie plików poza bieżącym katalogiem roboczym.

W pakiecie python-cryptography znaleziono lukę, która może umożliwić zdalnemu atakującemu odszyfrowanie przechwyconych wiadomości na serwerach TLS korzystających z wymiany kluczy RSA. Może to prowadzić do ujawnienia poufnych lub wrażliwych danych.

W wersjach Python Charmers Future 0.18.2 i wcześniejszych odkryto problem, który pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez spreparowany nagłówek Set-Cookie z złośliwego serwera internetowego.

W pliku hb-ot-layout-gsubgpos.hh w HarfBuzz w wersji do 6.0.0, atakujący mogą wywołać wzrost złożoności O(n^2) poprzez kolejne znaki diakrytyczne podczas procesu poszukiwania podstawowych glifów przy dołączaniu znaków.

W jądrze Linuxa zidentyfikowano podatność związaną z warunkiem wyścigu, która prowadzi do sytuacji use-after-free. Problem dotyczy braku liczenia referencji dla inodów rawdata, co umożliwia atakującemu otwieranie plików rawdata w niebezpieczny sposób.

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 2.6.4 i 1.123.23, uwierzytelniony użytkownik bez uprawnień do wyświetlania zewnętrznych sekretów mógł odwołać się do sekretu za pomocą zewnętrznej nazwy w poświadczeniu i uzyskać jego wartość w postaci tekstu jawnego podczas zapisywania poświadczenia.

Podatność CVE-2024-7254 dotyczy projektów, które analizują nieufne dane Protocol Buffers zawierające dowolną liczbę zagnieżdżonych grup lub serii tagów SGROUP. Może to prowadzić do przekroczenia limitu stosu, co skutkuje błędem StackOverflow.

n8n to platforma automatyzacji przepływu pracy typu open source. Przed wersjami 2.14.1, 2.13.3 i 1.123.27, uwierzytelniony użytkownik z rolą `global:member` mógł wykorzystać łańcuchowe błędy autoryzacji w potoku poświadczeń n8n, aby ukraść tajne dane w postaci niezaszyfrowanej z ogólnych poświadczeń HTTP.

minimatch to minimalne narzędzie do dopasowywania, które konwertuje wyrażenia glob na obiekty RegExp w JavaScript. Przed wersjami 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5 i 3.1.3, funkcja `matchOne()` wykonuje nieograniczone rekurencyjne cofanie, gdy wzór glob zawiera wiele nieprzylegających `**`.