CVE Vulnerability Catalog

W Applocker Filter Driver (applockerfltr.sys) występuje problem z równoległym wykonywaniem przy użyciu wspólnego zasobu z niewłaściwą synchronizacją, co prowadzi do warunku wyścigu. Umożliwia to autoryzowanemu atakującemu podniesienie uprawnień lokalnie.

A vulnerability in .NET Framework due to improper input validation allows an unauthorized attacker to cause a denial of service (DoS) over a network.

W Microsoft Office Word występuje podatność typu use after free, która pozwala nieautoryzowanemu atakującemu na lokalne wykonanie kodu.

W usługach zarządzania systemem Windows występuje problem z równoległym wykonywaniem przy użyciu współdzielonego zasobu z niewłaściwą synchronizacją, co prowadzi do wystąpienia warunku wyścigu. Umożliwia to autoryzowanemu atakującemu lokalne podniesienie uprawnień.

A vulnerability in FlashBlade allows sensitive information to be logged under specific conditions.

Wersje Acrobat Reader 26.001.21411, 24.001.30360, 24.001.30362 i wcześniejsze są podatne na lukę związaną z nieprawidłową kontrolą modyfikacji atrybutów prototypu obiektu ('zanieczyszczenie prototypu'). Wykorzystanie tej luki może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika, co wymaga interakcji użytkownika poprzez otwarcie złośliwego pliku.

Wersje InDesign Desktop 20.5.2, 21.2 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

Wersje InDesign Desktop 20.5.2, 21.2 i wcześniejsze są podatne na lukę typu out-of-bounds read podczas analizowania spreparowanego pliku, co może prowadzić do odczytu poza końcem przydzielonej struktury pamięci. Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście bieżącego użytkownika.

Wersje InDesign Desktop 20.5.2, 21.2 i wcześniejsze są podatne na lukę typu Use After Free, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

W Fortinet FortiDDoS-F w wersjach 7.2.1 do 7.2.2 występuje podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Atakujący może wykorzystać tę lukę, wysyłając odpowiednio skonstruowane żądania HTTP, co pozwala na wykonanie nieautoryzowanego kodu lub poleceń.

W systemie Webkul Krayin CRM w wersji 2.2.x występuje luka typu Broken Object-Level Authorization (BOLA) w punkcie końcowym /Contact/Persons/PersonController.php. Umożliwia ona uwierzytelnionym atakującym dowolne odczytywanie, modyfikowanie oraz trwałe usuwanie kontaktów należących do innych użytkowników poprzez odpowiednio skonstruowane żądanie GET.

W podatności CVE-2026-38530 występuje problem z autoryzacją na poziomie obiektów (BOLA) w punkcie końcowym /Controllers/Lead/LeadController.php w systemie Webkul Krayin CRM w wersji 2.2.x. Umożliwia to uwierzytelnionym atakującym dowolne odczytywanie, modyfikowanie oraz trwałe usuwanie leadów należących do innych użytkowników poprzez wysłanie odpowiednio skonstruowanego żądania GET.

W Webkul Krayin CRM w wersji 2.2.x występuje luka typu Broken Object-Level Authorization (BOLA) w punkcie końcowym /Settings/UserController.php, która pozwala uwierzytelnionym atakującym na dowolne resetowanie haseł użytkowników oraz przejęcie pełnej kontroli nad kontem poprzez dostarczenie odpowiednio skonstruowanego żądania HTTP.

W wersji 2.2.x systemu Krayin CRM odkryto podatność na wstrzyknięcie SQL poprzez parametr rotten_lead w pliku /Lead/LeadDataGrid.php.

W komponentach /settings/webhooks/create systemu Webkul Krayin CRM w wersji 2.2.x występuje podatność typu Server-Side Request Forgery (SSRF), która umożliwia atakującym skanowanie zasobów wewnętrznych poprzez dostarczenie odpowiednio skonstruowanego żądania POST.

An improper authentication vulnerability exists in Fortinet FortiSOAR PaaS versions 7.6.0 through 7.6.3 and 7.5.0 through 7.5.2, as well as in on-premise versions 7.6.0 through 7.6.3 and 7.5.0 through 7.5.2. An unauthenticated attacker may bypass authentication by replaying a captured 2FA request.

A heap-based buffer overflow vulnerability in Fortinet FortiAnalyzer Cloud versions 7.6.2 through 7.6.4 and FortiManager Cloud versions 7.6.2 through 7.6.4 may allow a remote unauthenticated attacker to execute arbitrary code or commands via specifically crafted requests.

An SQL injection vulnerability in Fortinet FortiAnalyzer, FortiManager and related products (listed versions) may allow a privileged authenticated attacker to execute unauthorized code or commands via JSON RPC API.

W aplikacji desktopowej Autodesk Fusion występuje podatność na przechowywane ataki XSS, która może być wywołana przez złośliwie skonstruowany ładunek HTML w nazwie wariantu zestawienia. Kliknięcie na taki ładunek podczas dialogu potwierdzenia usunięcia może prowadzić do nieautoryzowanego dostępu do lokalnych plików lub wykonania dowolnego kodu.

W aplikacji desktopowej Autodesk Fusion występuje podatność na przechowywane ataki typu Cross-site Scripting (XSS), która może być wywołana przez złośliwie skonstruowany ładunek HTML zapisany w nazwie projektu i eksportowany do formatu CSV. Atakujący może wykorzystać tę podatność do odczytu lokalnych plików lub wykonania dowolnego kodu w kontekście bieżącego procesu.