CVE Vulnerability Catalog

Auth0.js to biblioteka JavaScript po stronie klienta dla Auth0. W wersjach od 8.11.0 do 9.32.0, w określonych warunkach wstępnych, SDK Auth0.js może niewłaściwie zwracać informacje o profilu użytkownika przy użyciu ważnego tokena dostępu, gdy dostarczony jest specjalnie skonstruowany nieprawidłowy token ID.

Tauri to framework do budowania binariów dla wszystkich głównych platform desktopowych. W wersjach od 2.0 do 2.11.0 występuje błąd w funkcji is_local_url(), który błędnie klasyfikuje zdalne adresy URL jako zaufane lokalne źródła na systemach Windows i Android.

An issue in Dolibarr ERP/CRM versions 22.0.0 through 22.0.4 and 24.0.0-alpha allows a remote attacker to execute arbitrary code via the htdocs/core/class/commonobject.class.php.

An issue in Dolibarr ERP/CRM versions 22.0.0 through 22.0.4 and 24.0.0-alpha allows a remote attacker to execute arbitrary code via the htdocs/cron/class/cronjob.class.php, in the call_user_func_array() function.

An issue in Dolibarr ERP/CRM versions 22.0.0 through 22.0.4 and 24.0.0-alpha allows a remote attacker to execute arbitrary code via the htdocs/core/actions_addupdatedelete.inc.php.

Craft CMS version 5.9.5 and earlier contains a Missing Authorization vulnerability in the migrate endpoint (/actions/app/migrate).

W podatności CVE-2025-70103 występuje przepełnienie bufora na stercie w bibliotece libjxl w wersji 0.12.0, które może być wywołane przez specjalnie przygotowane obrazy PBM przekazywane do funkcji jxl::extras::DecodeImagePNM w pliku lib/extras/dec/pnm.cc.

IBM Aspera High-Speed Transfer Endpoint w wersjach od 3.7.4 do 4.4.7 Fix Pack 1 oraz IBM Aspera High-Speed Transfer Server w tych samych wersjach są podatne na potencjalny atak typu denial of service w komponencie asperahttpd. Nieautoryzowany użytkownik może spowodować awarię usługi asperahttpd.

Podatność CVE-2026-8179 dotyczy komponentu asperahttpd w IBM Aspera High-Speed Transfer Endpoint oraz IBM Aspera High-Speed Transfer Server w wersjach od 3.7.4 do 4.4.7 Fix Pack 1. Występuje w nim przepełnienie bufora, które może umożliwić uwierzytelnionemu użytkownikowi wykonanie dowolnego kodu na systemie.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.0 może umożliwiać atak typu denial of service z powodu niekontrolowanego zużycia zasobów.

IBM Operations Analytics - Log Analysis oraz IBM SmartCloud Analytics - Log Analysis używają domyślnych haseł z procesu produkcji podczas instalacji, co może umożliwić atakującemu ominięcie uwierzytelnienia.

IBM Controller w wersjach 11.0.1, 11.1.0, 11.1.1 oraz 11.1.2 zawiera twardo zakodowane dane uwierzytelniające, takie jak hasło lub klucz kryptograficzny. Są one wykorzystywane do uwierzytelniania przychodzącego, komunikacji wychodzącej z komponentami zewnętrznymi oraz szyfrowania danych wewnętrznych.

CVE-2026-48972 involves improper control of filename for include/require statements in PHP, leading to PHP Local File Inclusion in SeedProd Pro.

A vulnerability has been identified in the Linux kernel related to a memory leak in the strp_abort_strp() function. When the stream parser is aborted, it may still hold a reference to a partially assembled message, leading to a memory leak.

In the Linux kernel, a vulnerability was discovered in the AFS filesystem involving a refcount leak during mmap operations. The issue stems from a partial revert of a previous change, as the .mmap_prepare call could incorrectly increment the refcount if a subsequent merge or allocation failure occurred. The previous behavior was restored pending full .mmap_prepare support.

A vulnerability was found in the Linux kernel's seg6 and rpl lightweight tunnels for IPv6. The seg6_input_core() and rpl_input() functions use a NOREF dst pointer after calling ip6_route_input(), which on PREEMPT_RT systems can lead to a race condition and use-after-free.

In the Linux kernel, a vulnerability was found in the edt-ft5x06 touchscreen driver. During debugfs teardown, a use-after-free condition could occur on the raw_buffer because manual cleanup was removed in favor of automatic I2C core handling. The debugfs read function could access the buffer after it was freed.

In the Linux kernel, a vulnerability was found in the ext4 filesystem's check_xattrs() function. The bounds check incorrectly allowed the next extended attribute entry pointer to land too close to the end of the valid region, leading to an out-of-bounds memory read on the subsequent loop iteration.

In the Linux kernel, a vulnerability was found in the vmalloc memory allocation mechanism. The decay_va_pool_node() function can be invoked concurrently from two paths: during pool purging and via the shrinker, leading to races and potential memory leaks.

In the Linux kernel, a use-after-free (UAF) vulnerability was found in the ALSA aloop driver during format change. The issue occurs when loopback_check_format() stops capture while a concurrent close can free the runtime, leaving a stale peer substream pointer in the playback trigger path.