CVE Vulnerability Catalog

No vulnerability description is available in the provided NVD data. Technical details and impact scope cannot be determined from the supplied information.

Nodemailer's disableFileAccess/disableUrlAccess options are a security sandbox that forbids untrusted message content from reading local files or making outbound HTTP(S) requests. The fix for GHSA-wqvq-jvpq-h66f may be incomplete, allowing bypass of the sandbox.

Nodemailer's address parser parses comma-separated addresses in quadratic time (O(n²)) in the number of addresses. A single crafted address string (e.g., To, Cc, Bcc, From, Reply-To) can cause significant slowdown.

A rogue MySQL server (or a man-in-the-middle) can force mysql2 to send credentials in plaintext by requesting an auth switch to mysql_clear_password. The driver complies without verifying that TLS is active.

gorilla/websocket used math/rand (a cryptographically weak pseudo-random number generator) to generate WebSocket frame mask keys. Masking keys MUST be unpredictable to prevent frame content injection attacks.

Several vulnerabilities (two rated critical under CVSSv3) have been discovered and fixed in the upstream libheif dependency. They can lead to remote code execution (RCE) on glibc-based Linux under certain conditions.

Nodemailer's email-address parser treats an RFC 5322 comment inside the domain as a point to concatenate the surrounding text, rather than as folding whitespace (CFWS) that terminates the domain. This can lead to incorrect parsing, e.g., [email protected](x)evil.c..., potentially redirecting messages or bypassing validation.

A vulnerability in the libheif library used by sharp (which Next.js uses for image optimization) can lead to remote code execution when AVIF files are optimized. Until a fix has propagated, optimization of AVIF files is disabled.

W pliku cipher/elgamal.c w Libgcrypt do wersji 1.8.2 występuje problem z nieprawidłowym kodowaniem tekstów jawnych podczas szyfrowania wiadomości. To umożliwia atakującym uzyskanie wrażliwych informacji poprzez analizę danych szyfrowanych.

W programie pngimage.c biblioteki libpng odkryto lukę typu przepełnienie sterty. Luka ta pozwala atakującemu z lokalnym dostępem do sieci na przesłanie specjalnie przygotowanego pliku PNG do narzędzia pngimage, co powoduje awarię aplikacji i prowadzi do odmowy usługi.

SDK LangSmith do interakcji z platformą LangSmith ma podatność na atak typu Server-Side Request Forgery (SSRF) poprzez złośliwe nagłówki HTTP. Atakujący może wstrzyknąć dowolne wartości api_url przez nagłówek baggage, co prowadzi do nieautoryzowanego dostępu.

Podatność CVE-2026-3890 dotyczy sterownika hcd-ohci, który może prowadzić do nieskończonej pętli. Problem ten może wpływać na stabilność systemu operacyjnego.

Libsndfile w wersjach do 1.2.2 zawiera podatność na wyciek pamięci w funkcji mpeg_l3_encoder_init() w pliku mpeg_l3_encode.c.

Vim to otwartoźródłowy edytor tekstu działający w wierszu poleceń. Przed wersją 9.1.1551 występował problem z przechodzeniem ścieżki w wtyczce zip.vim, który mógł pozwolić na nadpisywanie dowolnych plików podczas otwierania specjalnie przygotowanych archiwów zip.

Biblioteka HTTP Requests od wersji 2.3.0 ma problem z wyciekiem nagłówków Proxy-Authorization do serwerów docelowych podczas przekierowań do punktów końcowych HTTPS. Problem ten wynika z użycia funkcji `rebuild_proxies`, która ponownie dołącza nagłówek `Proxy-Authorization` do żądań.

OpenSC to narzędzie i middleware do kart inteligentnych. Przed wersją 0.27.0, atakujący z fizycznym dostępem do komputera w momencie używania tokena przez użytkownika lub administratora może spowodować przepełnienie bufora stosu w card-oberthur.

Git to szybki, skalowalny, rozproszony system kontroli wersji, który wykorzystuje pomocnika wincred do przechowywania i porównywania danych uwierzytelniających. Wykorzystuje on statyczny bufor jako unikalny klucz, co może prowadzić do problemów z bezpieczeństwem.

W PCRE 8.41, po kompilacji, test obciążeniowy pcretest powoduje przepełnienie stosu w funkcji match() w pliku pcre_exec.c z powodu samorekurencyjnego wywołania. Zauważono, że istnieją opcje, które mogą ograniczyć użycie stosu.

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersją 2.5.0, gdy funkcja kontroli źródła była skonfigurowana do używania SSH, polecenie SSH używane do operacji git wyłączało weryfikację klucza hosta.