CVE Vulnerability Catalog

fast-xml-parser umożliwia przetwarzanie XML z obiektów JS bez użycia bibliotek opartych na C/C++ lub callbacków. W wersjach od 4.0.0-beta.3 do przed 5.5.7, DocTypeReader w fast-xml-parser wykorzystuje sprawdzanie wartości prawdziwych w JavaScript do oceny limitów konfiguracji maxEntityCount i maxEntitySize.

Podatność dotyczy wersji pakietu bn.js przed 5.2.3. Wywołanie maskn(0) na dowolnej instancji BN powoduje uszkodzenie wewnętrznego stanu, co skutkuje nieskończoną pętlą w metodach toString(), divmod() i innych, zawieszając proces na czas nieokreślony.

Axios to klient HTTP oparty na obietnicach dla przeglądarki i Node.js. W wersjach od 0.28.0 do 0.30.2 oraz 1.12.0, gdy Axios działa na Node.js i otrzymuje URL z schematem `data:`, nie wykonuje żądania HTTP, lecz dekoduje cały ładunek do pamięci.

W jądrze Linuxa rozwiązano podatność związaną z unieważnianiem urządzeń sieciowych, która mogła prowadzić do problemów z obsługą zdarzeń NETDEV_CHANGEMTU. Zgłoszenia z syzbot wskazują na problemy z odczekiwaniem na zwolnienie urządzenia netdevsim0.

Biblioteka do rozszerzania nawiasów generuje dowolne ciągi zawierające wspólny prefiks i sufiks. W wersjach przed 5.0.5, 3.0.2, 2.0.3 i 1.1.13, wzór z nawiasami z wartością kroku równą zero (np. `{1..2..0}`) powoduje, że pętla generująca sekwencję działa w nieskończoność, co prowadzi do zawieszenia procesu.

W jądrze Linuxa rozwiązano podatność związaną z protokołem MPTCP, która dotyczyła ustawiania identyfikatora jako dostępnego w przypadku usunięcia końca połączenia. Syzkaller zidentyfikował kombinację działań, która generowała ostrzeżenie w kodzie źródłowym.

Wersje pakietu @tootallnate/once przed 3.0.1 są podatne na nieprawidłowe zarządzanie przepływem kontroli podczas rozwiązywania obietnic, gdy używana jest opcja AbortSignal. Obietnica pozostaje w stanie oczekiwania po anulowaniu sygnału, co powoduje, że każde użycie await lub .then() wiesza się na czas nieokreślony.

LangChain to framework do budowania aplikacji opartych na LLM. Przed wersją 1.1.8 występuje luka typu Server-Side Request Forgery (SSRF) w `RecursiveUrlLoader` w `@langchain/community`, która pozwala na obejście zabezpieczeń związanych z przekierowaniami.

Podatność CVE-2022-4055 dotyczy niewłaściwego parsowania URL w xdg-mail, gdy jest skonfigurowany do używania Thunderbirda dla linków mailto. Może to prowadzić do przekazywania dodatkowych nagłówków do Thunderbirda, które nie powinny być dołączane zgodnie z RFC 2368.

W NGINX OSS i NGINX Plus występuje podatność, gdy są skonfigurowane do proxy do serwerów TLS. Atakujący z pozycją man-in-the-middle (MITM) po stronie serwera upstream może być w stanie wstrzyknąć dane w postaci tekstu jawnego.

NGINX Plus i NGINX Open Source mają podatność w module ngx_stream_ssl_module z powodu niewłaściwego przetwarzania unieważnionych certyfikatów, gdy włączone są dyrektywy ssl_verify_client oraz ssl_ocsp. To pozwala na pomyślne zakończenie handshake TLS, nawet jeśli sprawdzenie OCSP identyfikuje certyfikat jako unieważniony.

Występuje podatność typu confusion w weryfikacji podpisu danych PKCS#7, gdzie członek unii ASN1_TYPE jest dostępny bez wcześniejszej walidacji typu. Może to prowadzić do dereferencji nieprawidłowego lub NULL wskaźnika podczas przetwarzania uszkodzonych danych PKCS#7.

Przetwarzanie źle sformatowanego pliku PKCS#12 może spowodować dereferencję wskaźnika NULL w funkcji PKCS12_item_decrypt_d2i_ex().

Wywołanie funkcji PKCS12_get_friendlyname() na złośliwie skonstruowanym pliku PKCS#12 z nazwą przyjazną BMPString (UTF-16BE), zawierającą nie-ASCII kod BMP, może spowodować zapis jednego bajtu przed przydzielonym buforem.

Przepełnienie bufora stosu w module 'refint' PostgreSQL pozwala nieuprzywilejowanemu użytkownikowi bazy danych na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiającego bazę danych. Atak może być przeprowadzony, jeśli aplikacja zadeklaruje kolumnę kontrolowaną przez użytkownika jako klucz główny kaskadowy 'refint'.

Podatność CVE-2026-6638 dotyczy wstrzykiwania SQL w PostgreSQL, które umożliwia twórcy tabeli subskrybenta wykonanie dowolnego SQL z uprawnieniami publikacji subskrypcji. Atak aktywuje się przy następnym odświeżeniu publikacji.

W PostgreSQL występuje błąd przepełnienia bufora w funkcji pg_restore_attribute_stats(), która akceptuje wartości tablicowe o niedopasowanej długości. Może to prowadzić do odczytu pamięci poza końcem tablicy, co umożliwia administratorowi tabeli wnioskowanie o wartościach pamięci znajdujących się poza tym końcem.

W kontrolerze AHCI w QEMU wystąpił problem z zakleszczeniem, który pojawia się podczas resetu oprogramowania (ahci_reset_port) przy obsłudze pakietu Register FIS (Frame Information Structure) z gościa. Użytkownik z uprawnieniami w gościu może wykorzystać tę lukę do zablokowania procesu QEMU.

W bibliotece Freetype w wersjach 2.13.2 i 2.13.3 występuje przepełnienie całkowite w funkcji tt_var_load_item_variation_store, które może prowadzić do odczytu poza zakresem podczas analizowania tabel HVAR/VVAR/MVAR w czcionkach OpenType. Problem został naprawiony w wersji 2.14.2.

Podatność CVE-2025-47909 dotyczy zaufanych źródeł (TrustedOrigins), które bezwarunkowo pozwalają na żądania z odpowiadających im źródeł HTTP. To umożliwia ataki CSRF przez atakujących w sieci.