CVE Vulnerability Catalog

RansomLook to narzędzie do monitorowania grup i rynków ransomware oraz wyodrębniania ich ofiar. W wersjach przed 1.9.0 API w aplikacji niewłaściwie filtruje prywatne wpisy lokalizacji, co może prowadzić do nieautoryzowanego ujawnienia informacji o lokalizacji.

UltraDAG to minimalny blockchain DAG-BFT napisany w Rust. W wersji 0.1, atakujący spoza rady może przesłać podpisaną transakcję SmartOp::Vote, która przechodzi wstępne kontrole podpisu, nonce i salda, ale nie przechodzi autoryzacji dopiero po dokonaniu mutacji stanu.

FreeScout to darmowy, samodzielnie hostowany system pomocy technicznej i wspólnej skrzynki pocztowej. Wersje przed 1.8.213 mają podatność na przechowywane skrypty międzywitrynowe (XSS) w funkcji podpisu skrzynki pocztowej, ponieważ funkcja sanitizacji nie usuwa wszystkich niebezpiecznych atrybutów HTML.

In the Tekton Pipelines project, versions from 1.0.0 to 1.0.1 and 1.3.4, 1.6.2, 1.9.3, 1.11.1, the Git resolver in API mode sends the configured Git API token to a user-controlled serverURL when the token parameter is omitted. A user with TaskRun or PipelineRun create permissions can exfiltrate the shared API token.

W urządzeniu Tenda W30E V2.0 w wersji V16.01.0.21 zidentyfikowano podatność na wstrzykiwanie poleceń w funkcji do_ping_action poprzez parametr hostName. Ta podatność umożliwia atakującym wykonywanie dowolnych poleceń za pomocą odpowiednio skonstruowanego żądania.

NVIDIA CUDA-Q zawiera podatność w punkcie końcowym, która pozwala nieautoryzowanemu atakującemu na wywołanie odczytu poza zakresem poprzez wysłanie złośliwie skonstruowanego żądania. Udany atak może prowadzić do odmowy usługi oraz ujawnienia informacji.

NVIDIA KAI Scheduler zawiera podatność, która pozwala atakującemu na dostęp do punktów końcowych API bez autoryzacji. Udany atak może prowadzić do ujawnienia informacji.

Bamboo Data Center contains a critical OS command injection vulnerability (RCE) with CVSS 9.4. An authenticated attacker can execute commands on the remote system, with high impact on confidentiality, integrity, and availability. Affected versions are 9.6.0, 10.0.0, 10.1.0, 10.2.0, 11.0.0, 11.1.0, 12.0.0, and 12.1.0.

System Zarządzania Wizytami 1.0 autorstwa sanjay1313 jest podatny na nieograniczone przesyłanie plików w plikach vms/php/admin_user_insert.php oraz vms/php/update_1.php. Funkcja move_uploaded_file() jest wywoływana bez jakiejkolwiek walidacji typu MIME, rozszerzenia lub zawartości, co pozwala uwierzytelnionemu administratorowi na przesłanie skryptu PHP i uzyskanie zdalnego wykonania kodu na serwerze.

Podatność związana z niecytowaną ścieżką wyszukiwania w CivetWeb v1.16. Umożliwia lokalnemu atakującemu wykonanie dowolnego kodu z podwyższonymi uprawnieniami poprzez umieszczenie złośliwego pliku wykonywalnego w katalogu skanowanym przed zamierzonym ścieżką aplikacji.

The sock_recvfrom_into() method in asyncio.ProactorEventLoop (Windows only) lacked a boundary check for the data buffer when using the nbytes parameter, allowing an out-of-bounds buffer write if data was larger than the buffer size.

In the Website module of Dolibarr ERP & CRM version 22.0.4 and below, blacklist-based filtering is used to restrict dangerous PHP functions related to system command execution. An authenticated user with permission to edit PHP content can bypass this filtering, resulting in full remote code execution with the ability to execute arbitrary operating system commands on the server.

In Dolibarr ERP & CRM version 22.0.4 and earlier, PHP code detection and editing permission enforcement in the Website module is not applied consistently to all input parameters. This allows an authenticated user restricted to HTML/JavaScript editing to inject PHP code through unprotected inputs during website page creation.

Usługa SFTP w Fortra's GoAnywhere MFT przed wersją 7.10.0 nie egzekwuje limitu logowania, gdy użytkownik internetowy jest skonfigurowany do logowania za pomocą klucza SSH. To sprawia, że klucz SSH jest podatny na ataki typu brute force.

Memory safety bugs were found in Firefox 149 and Thunderbird 149. Some of these bugs showed evidence of memory corruption, potentially allowing arbitrary code execution. The vulnerability was fixed in Firefox 150 and Thunderbird 150.

Podatność CVE-2026-6782 dotyczy ujawnienia informacji w komponencie ochrony IP. Została naprawiona w wersjach Firefox 150 i Thunderbird 150.

Podatność typu denial-of-service w komponencie odtwarzania audio/wideo. Została naprawiona w wersjach Firefox 150 i Thunderbird 150.

Podatność typu denial-of-service w komponencie odtwarzania audio/wideo. Została naprawiona w wersjach Firefox 150 i Thunderbird 150.

W podatności CVE-2026-6776 występują nieprawidłowe warunki graniczne w komponencie sieciowym WebRTC. Problem ten został naprawiony w wersjach Firefox 150, Firefox ESR 140.10, Thunderbird 150 oraz Thunderbird 140.10.

Podatność CVE-2026-6773 dotyczy przepełnienia całkowitego w komponencie WebGPU, co może prowadzić do ataku typu denial-of-service. Została naprawiona w wersjach Firefox 150 i Thunderbird 150.