CVE Vulnerability Catalog

Wykryto podatność w urządzeniu Tenda F451 w wersji 1.0.0.7, która dotyczy funkcji fromDhcpListClient w pliku /goform/DhcpListClient. Manipulacja argumentem page prowadzi do przepełnienia bufora na stosie.

Zidentyfikowano podatność w FoundationAgents MetaGPT do wersji 0.8.1, która dotyczy funkcji generate_thoughts w pliku metagpt/strategy/tot.py komponentu Tree-of-Thought Solver. Manipulacja prowadzi do wstrzykiwania kodu, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność bezpieczeństwa w perfree go-fastdfs-web do wersji 1.3.7, która dotyczy nieznanej części pliku src/main/java/com/perfree/controller/InstallController.java w interfejsie doInstall. Manipulacja prowadzi do niewłaściwej autoryzacji, co może umożliwić zdalny atak.

A path validation vulnerability in the Gleam compiler's handling of git dependencies allows arbitrary file system modification during dependency download. Dependency names from gleam.toml and manifest.toml are used in filesystem paths without sufficient validation, enabling path traversal (e.g., ../) to access files outside the intended dependency directory. A malicious dependency can delete or overwrite arbitrary directories, potentially leading to data loss or code execution.

Wtyczka wpForo Forum dla WordPressa jest podatna na nieautoryzowane usuwanie plików w wersjach do 3.0.2. Problem wynika z błędu logicznego, który pozwala atakującemu na przesłanie złośliwej ścieżki pliku, co prowadzi do usunięcia pliku z serwera.

Wtyczka Optimole – Optymalizacja obrazów dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) we wszystkich wersjach do 4.2.2 włącznie. Problem wynika z niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych w parametrze 's' (opis srcset) w nieautoryzowanym punkcie końcowym REST.

Wtyczka BuddyPress Groupblog dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do i włącznie z 1.9.3. Problem wynika z braku odpowiednich kontroli autoryzacyjnych przy obsłudze parametrów `groupblog-blogid`, `default-member` i `groupblog-silent-add` z wejścia użytkownika.

Podatność CVE-2026-5496 dotyczy oprogramowania Labcenter Electronics Proteus i polega na błędzie w analizie plików PDSPRJ, który prowadzi do zamieszania typów. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach, pod warunkiem, że użytkownik odwiedzi złośliwą stronę lub otworzy złośliwy plik.

Podatność w Labcenter Electronics Proteus dotycząca analizy plików PDSPRJ umożliwia zdalne wykonanie kodu. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2026-5494 dotyczy oprogramowania Labcenter Electronics Proteus i polega na możliwości zdalnego wykonania dowolnego kodu poprzez nieprawidłowe przetwarzanie plików PDSPRJ. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2026-5493 dotyczy oprogramowania Labcenter Electronics Proteus i polega na możliwości wykonania zdalnego kodu poprzez nieprawidłowe przetwarzanie plików PDSPRJ. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność NoMachine pozwala lokalnym atakującym na eskalację uprawnień na zainfekowanych instalacjach. Problem występuje w NoMachine Device Server, który ładuje bibliotekę z niebezpiecznej lokalizacji.

Podatność NoMachine umożliwia lokalnym atakującym eskalację uprawnień na zainfekowanych instalacjach. Problem wynika z niewłaściwego sprawdzania parametrów wiersza poleceń, co pozwala na wykorzystanie dostarczonej przez użytkownika ścieżki w operacjach na plikach.

Podatność NoMachine pozwala lokalnym atakującym na usunięcie dowolnych plików na zainfekowanych instalacjach. Problem wynika z niewłaściwego sprawdzania zmiennych środowiskowych przed ich użyciem w operacjach na plikach.

Podatność w konfiguracji OpenSSL w KeePassXC umożliwia lokalnym atakującym eskalację uprawnień. Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach na docelowym systemie, aby móc wykorzystać tę podatność.

Podatność CVE-2026-4157 dotyczy urządzeń ChargePoint Home Flex i pozwala atakującym z sieci lokalnej na zdalne wykonanie dowolnego kodu. Problem wynika z niewłaściwego przetwarzania wiadomości OCPP, co umożliwia atakującemu wykorzystanie niezweryfikowanego ciągu znaków do wykonania polecenia systemowego.

Podatność w ChargePoint Home Flex OCPP umożliwia zdalne wykonanie kodu poprzez przepełnienie bufora na stosie. Problem wynika z braku odpowiedniej walidacji długości danych dostarczanych przez użytkownika przed ich skopiowaniem do bufora o stałej długości.

Podatność CVE-2026-4155 dotyczy stacji ładowania ChargePoint Home Flex, która umożliwia zdalnym atakującym ujawnienie wrażliwych informacji. Problem wynika z obecności tajnego klucza kryptograficznego w skrypcie genpw, co pozwala na ujawnienie zapisanych poświadczeń.

A vulnerability in GIMP allows remote code execution during XPM file parsing. The issue stems from missing validation of user-supplied data, leading to an integer overflow before buffer allocation. User interaction is required (opening a malicious file or page).