CVE Vulnerability Catalog

W frameworku Anchor, od wersji 1.0.0 do przed 1.0.2, występuje błąd logiczny, który pozwala programom na akceptowanie dowolnego identyfikatora programu zamiast wymaganego identyfikatora systemowego. To prowadzi do fałszywych założeń, co może skutkować potencjalnym arbitralnym wywołaniem CPI w programach, które wywołują instrukcje programu systemowego.

Podatność w claude-code-cache-fix występuje w wersjach od 3.5.0 do przed 3.5.2, gdzie skrypt tools/quota-statusline.sh interpoluje dane wejściowe użytkownika bezpośrednio do literału łańcucha w Pythonie. Wprowadzenie sekwencji bajtów ''' w dowolnym polu kontrolowanym przez użytkownika może zakończyć literał przedwcześnie, co pozwala na wykonanie kolejnych bajtów jako kodu Pythona w procesie Claude Code użytkownika.

In versions prior to 0.8.7, pam_usb reads the user's $TMUX environment variable and interpolates its value without proper sanitization, allowing arbitrary shell syntax injection. This creates a risk of unauthorized command execution as root.

pam_usb prior to version 0.8.7 allows remote code execution (RCE) as root through a crafted UUID in the configuration. Running pamusb-conf --reset-pads with such a UUID leads to exploitation of the vulnerability.

pam_usb prior to version 0.8.7 is vulnerable to symlink attacks that allow authentication bypass and root file corruption. Version 0.8.7 includes a fix for this vulnerability.

pam_usb zapewnia uwierzytelnianie sprzętowe dla systemu Linux przy użyciu zwykłych nośników wymiennych. W wersjach przed 0.8.7, pamusb-pinentry odczytuje zmienną środowiskową PINENTRY_FALLBACK_APP i wykonuje ją bez żadnej walidacji, co pozwala na uruchomienie dowolnego binarnego pliku lub skryptu.

UltraJSON to szybki enkoder i dekoder JSON napisany w czystym C z powiązaniami dla Pythona 3.7+. Przed wersją 5.12.1, gdy ujson.dump() zapisuje do obiektu podobnego do pliku i operacja zapisu zgłasza wyjątek, obiekt ciągu JSON nie jest dekrementowany, co prowadzi do wycieku pamięci.

W WOSDefaultHttpModule.dll występuje podatność na traversję ścieżki, która pojawia się podczas przetwarzania ścieżki URL zaczynającej się od /woshome.

Funkcje wywołujące WOSCommonUtil.dll!WOSSysInfoGetDeviceInterface() w różnych bibliotekach DLL (np. WOSProfileMgrModule.dll, WOSWebDavModule.dll) mogą zwracać wskaźnik NULL, gdy żaden użytkownik nie jest zalogowany do konsoli zarządzania Triofox Server Agent. Wskaźnik NULL nie jest sprawdzany przed jego dereferencją.

Podatność CVE-2026-8359 występuje w przypadku przetwarzania żądania z URL zaczynającym się od /status lub /sysinfo, gdzie próba załadowania modułu WOSHttpStatusModule.dll kończy się niepowodzeniem, ponieważ plik DLL nie jest obecny w instalacji. W efekcie wskaźnik funkcji do WOSBin_LoadHttpModule jest ustawiony na NULL, co prowadzi do wywołania funkcji pod adresem 0.

W wersjach przed 0.9.1 pam_usb, używający sprzętowej autoryzacji w systemie Linux, pomijał sprawdzenie PAM_RHOST, gdy usługa PAM była skonfigurowana z deny_remote=false. To pozwalało na autoryzację zdalnych połączeń XDMCP, co powinno być odrzucane.

In versions prior to 0.9.0, the pusb_pad_compare() function in pam_usb did not enforce the presence and readability of the pad file on the USB device, allowing users to authenticate without the physical device. A user could delete their ~/.pamusb/device.pad, resulting in successful authentication without the required USB device.

RELATE to pakiet kursów internetowych, który przed poprawką d66ba5659b459bf1ba56b7109b5f9ecf197cbefb konfigurował swoje pracowniki Celery do akceptowania i deserializacji nieufnych danych 'pickle'. Atakujący, który ma dostęp do brokera wiadomości, może wykonać dowolne polecenia na serwerze hosta.

Himmelblau to zestaw interoperacyjny dla Microsoft Azure Entra ID i Intune. W wersjach od 2.0.0 do przed 3.1.5 oraz 2.3.11 występowała podatność na obejście uwierzytelniania w przepływie Device Authorization Grant (DAG), która pozwalała użytkownikowi w tej samej domenie Entra ID uzyskać lokalną sesję Unix jako inny użytkownik, używając własnych ważnych poświadczeń.

MapServer, system do tworzenia aplikacji GIS w sieci, ma podatność, która występuje w wersjach od 6.4.0 do przed 8.6.3. Problem polega na tym, że msSLDParseUserStyle zawsze wywołuje _SLDApplyRuleValues, co prowadzi do dereferencji wskaźnika NULL w przypadku reguły bez symbolizera.

Pi.Alert, a WiFi/LAN intruder detector, has an SQL injection vulnerability in the /pialert/php/server/devices.php endpoint. Unauthenticated users can exploit the scansource parameter with action=getDevicesTotals to execute arbitrary SQL queries. The flaw is fixed in the 2026-05-07 release.

The systeminformation library for Node.js versions 4.17.0 to 5.31.5 is vulnerable to command injection in the networkInterfaces() function on Linux. This occurs when an active NetworkManager connection profile name contains shell metacharacters that are not properly sanitized before being used in shell commands.

RELATE to pakiet kursów internetowych, który w wersjach przed commit 555f0efb1c5bd7531c07cd73724d7e566a81f620 ma podatność na przechowywane ataki typu cross-site scripting. Umożliwia to każdemu zapisanym studentowi wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora, co może prowadzić do przejęcia pełnego konta administratora.

GitLab has remediated an issue in GitLab EE affecting all versions from 18.8 before 18.10.7, 18.11 before 18.11.4, and 19.0 before 19.0.1. Under certain conditions, an authenticated user could have caused specific Duo AI workflows to run under another user's identity due to improper user identity resolution.

Kysely to typowo bezpieczny budowniczy zapytań SQL w TypeScript. W wersjach od 0.26.0 do 0.28.16, metoda DefaultQueryCompiler.visitJSONPathLeg nie ucieka metaznaków JSON-path, co pozwala atakującemu na nieautoryzowany dostęp do pól JSON, które nie miały być ujawnione.