CVE Vulnerability Catalog

Vim to otwartoźródłowy edytor tekstu działający w wierszu poleceń. Przed wersją 9.2.0479 występuje podatność na wstrzykiwanie poleceń w funkcji tar#Vimuntar() w pliku runtime/autoload/tar.vim podczas dekompresji archiwów .tgz w systemach podobnych do Unix.

BuildKit to narzędzie do konwertowania kodu źródłowego na artefakty budowlane. Przed wersją 0.28.1, korzystając z niestandardowego frontendu BuildKit, frontend mógł stworzyć wiadomość API, która powodowała zapis plików poza katalogiem stanu BuildKit.

node-tar to pełnofunkcjonalny program Tar dla Node.js. W wersjach 7.5.7 i poniżej, przy użyciu domyślnych opcji, złośliwy archiwum może utworzyć twardy link w katalogu ekstrakcji, który wskazuje na plik poza katalogiem głównym ekstrakcji, co umożliwia odczyt i zapis dowolnych plików jako użytkownik wykonujący ekstrakcję.

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.22, 2.9.3 i 2.10.1, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł wykorzystać JavaScript Task Runner do alokacji niezainicjowanych buforów pamięci.

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.32, 2.17.4 i 2.18.1, punkt rejestracji klienta OAuth MCP akceptował nieautoryzowane żądania i przechowywał dane klientów bez odpowiednich kontroli zasobów.

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 2.10.1, 2.9.3 i 1.123.22, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł wykorzystać węzeł Python Code do ucieczki z piaskownicy.

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.12 i 2.4.0, podczas przetwarzania przesłanych plików i ich transferu do zdalnych serwerów za pomocą węzła SSH, brak walidacji metadanych może prowadzić do zapisywania plików w niezamierzonych lokalizacjach.

W wersjach Python Charmers Future 0.18.2 i wcześniejszych odkryto problem, który pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez spreparowany nagłówek Set-Cookie z złośliwego serwera internetowego.

W pliku hb-ot-layout-gsubgpos.hh w HarfBuzz w wersji do 6.0.0, atakujący mogą wywołać wzrost złożoności O(n^2) poprzez kolejne znaki diakrytyczne podczas procesu poszukiwania podstawowych glifów przy dołączaniu znaków.

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 2.6.4 i 1.123.23, uwierzytelniony użytkownik bez uprawnień do wyświetlania zewnętrznych sekretów mógł odwołać się do sekretu za pomocą zewnętrznej nazwy w poświadczeniu i uzyskać jego wartość w postaci tekstu jawnego podczas zapisywania poświadczenia.

W pakiecie python-cryptography znaleziono lukę, która może umożliwić zdalnemu atakującemu odszyfrowanie przechwyconych wiadomości na serwerach TLS korzystających z wymiany kluczy RSA. Może to prowadzić do ujawnienia poufnych lub wrażliwych danych.

W GlusterFS w wersji 11.0 występuje podatność typu use-after-free w funkcji dht_setxattr_mds_cbk w pliku dht-common.c. Może to prowadzić do nieprzewidzianego zachowania aplikacji lub awarii systemu.

Effect to framework TypeScript składający się z kilku pakietów, które współpracują w celu budowy aplikacji TypeScript. Przed wersją 3.20.0, używając `RpcServer.toWebHandler` (lub `HttpApp.toWebHandlerRuntime`) w handlerze trasy Next.js App Router, występowały problemy z `AsyncLocalStorage` w Node.js.

@isaacs/brace-expansion to hybrydowy fork TypeScript brace-expansion, który przed wersją 5.0.1 jest podatny na atak typu denial of service (DoS) spowodowany nieograniczonym rozszerzaniem zakresów klamrowych. Atakujący może dostarczyć wzór zawierający powtarzające się numeryczne zakresy klamrowe.

W wersjach przed 1.19.10 biblioteki @hono/node-server, podczas korzystania z serwowania statycznych plików oraz ochrony opartych na trasach, występuje niespójne dekodowanie URL, co może umożliwić dostęp do chronionych zasobów statycznych.

W jądrze Linuxa zidentyfikowano podatność, która pozwala nieuprzywilejowanemu lokalnemu użytkownikowi na zarządzanie politykami AppArmor. Użytkownik może załadować, zastąpić lub usunąć profile, wykorzystując atak 'confused deputy', co prowadzi do pełnego zarządzania polityką.

Pillow wheels from 11.1.0 onward bundle a libopenjp2 containing a heap-buffer-overflow write that is fixed upstream on master but has never appeared in an OpenJPEG release. Because the wheel bundles its own copy, a patched host library does not protect against the issue.

A call to the token endpoint with a grant type of urn:ietf:params:oauth:grant-type:device_code and a bogus device_code can obtain a bearer token as long as a valid client ID enabled for the device workflow is known. This violates RFC 8628.

This is a residual of GHSA-g5vv-9gxw-82hx / CVE-2026-87819. The 3.1.60 fix made Actor._from_string regex-free, but parse_actor_and_date still runs _re_actor_epoch on the same author/committer/tagger line one step earlier. That pattern backtracks quadratically when the trailing epo...

Multiple cases were found in aiohttp where excessive or unbounded memory use, or excessive CPU consumption, can be triggered by attacker-controlled requests. An attacker could cause resource exhaustion through specially crafted requests.