CVE-2026-111151

W serwerze MariaDB prefiks #mysql50# pozwala obejść normalne kodowanie nazw tabel w systemie plików. Atakujący może użyć nazwy tabeli z prefiksem #mysql50#, aby uzyskać dostęp do plików pod ich starszą, niezakodowaną nazwą, co może powodować awarie, uszkodzenie danych, eksfiltrację danych lub zdalne wykonanie kodu. Problem dotyczy wersji od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2.

W serwerze MariaDB obsługa SYS_REFCURSOR jest podatna na problem, ponieważ realokacja tablicy kursorów może pozostawić nieaktualne referencje w kontekstach procedur. Atakujący z niskimi uprawnieniami może otworzyć dużą liczbę SYS_REFCURSOR, a następnie pobrać jeden z nich, wywołując use-after-free, co w połączeniu z inną podatnością może umożliwić zdalne wykonanie kodu. Problem dotyczy wersji od 12.3.1 do 12.3.3 i 13.0.2.

W serwerze MariaDB funkcja ST_AsText może zapisywać poza zaalokowanym buforem wyjściowym podczas konwersji głęboko zagnieżdżonych GeometryCollections, ponieważ rekurencyjna serializacja WKT nie uwzględnia zużytych bajtów ani nie rezerwuje wystarczającej ilości miejsca. Zdalny atakujący z niskimi uprawnieniami może przesłać specjalnie spreparowany obiekt GIS, aby uszkodzić pamięć i potencjalnie osiągnąć wykonanie kodu w połączeniu z inną podatnością. Problem dotyczy wersji od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2.

Dockhand to aplikacja do zarządzania Dockerem. W wersjach przed 1.0.34 endpoint terminala kontenera w przeglądarce /api/containers/<id>/exec nie wymusza uwierzytelniania przy żądaniu aktualizacji WebSocket. Gdy nieuwierzytelniony atakujący ma dostęp sieciowy do Dockhand, zna identyfikator kontenera docelowego i celuje w kontener z interaktywną powłoką, może otworzyć surową sesję terminala WebSocket i wykonywać polecenia wewnątrz kontenera.

RIOT to open-source'owy system operacyjny dla mikrokontrolerów przeznaczony dla urządzeń IoT i systemów wbudowanych. W wersjach przed 2026.07 funkcja _parse_reply() w sys/net/application_layer/dhcpv6/client.c pomija walidację minimalnej długości przed przekazaniem ciał opcji IA_PD i IA_NA do parserów podopcji. Złośliwy lub przejęty serwer DHCPv6 może wysłać REPLY z długością opcji mniejszą niż wymagana struktura, gdy włączony jest MODULE_DHCPV6_CLIENT_IA_PD, powodując odczyt poza ciałem opcji, niedomiar size_t i nieograniczone odczyty poza granicami sterty.

RIOT to open-source'owy system operacyjny dla mikrokontrolerów przeznaczony dla urządzeń IoT i systemów wbudowanych. W wersjach przed 2026.04 funkcja _atwinc15x0_sta_set_current_ssid w sterowniku ATWINC15x0 używa strcpy do kopiowania SSID bez sprawdzania rozmiaru miejsca docelowego. Gdy włączony jest MODULE_ATWINC15X0_DYNAMIC_CONNECT, atakujący w pobliżu może rozgłaszać zniekształcony lub zbyt długi SSID przetwarzany podczas skanowania Wi-Fi, powodując uszkodzenie pamięci i potencjalnie poważny błąd, odmowę usługi lub wykonanie kodu.

RIOT to open-source'owy system operacyjny dla mikrokontrolerów przeznaczony dla urządzeń IoT i systemów wbudowanych. W wersjach przed 2026.07 nanocoap akceptuje zbyt duże wartości opcji CoAP Block2 bez wymuszania maksymalnego 20-bitowego numeru bloku, co pozwala na przepełnienie mnożenia przesunięcia bloku na celach 32-bitowych. Zbyt duża wartość przechodzi z coap_get_blockopt() do coap_block_slicer_init(), a zdalny klient CoAP może wysłać zniekształconą opcję Block2, powodując nieprawidłowy zakres wycinka i dostęp poza granicami pamięci, odmowę usługi lub uszkodzenie pamięci.

countly-server to część serwerowa Countly, rozwiązania do analityki produktowej. W wersjach przed 24.05.50 i 25.03.44 plik plugins/star-rating/api/api.js pozwala administratorowi aplikacji niebędącemu administratorem globalnym użyć uploadFeedbackFile do przechowania kontrolowanej przez atakującego aktywnej treści, ufając dostarczonemu typowi MIME. Plik plugins/star-rating/frontend/app.js publicznie udostępnia przechowaną treść z feedback/preview/ z typem Content-Type wpływającym na atakującego, więc administrator globalny otwierający podgląd wykonuje ładunek w origin Countly i ujawnia uwierzytelnione możliwości sesji, w tym wartości auth_token i csrf_token.

Usługa REST do zmiany statusu przechowywania pozwala zmieniać rekordy lokalizacji powiązane z instancjami DICOM na stany związane z usunięciem. Ustawienie lokalizacji na TO_DELETE powoduje, że PurgeStorageScheduler usuwa obiekt z magazynu, mimo że odpowiadający rekord instancji pozostaje w bazie danych.

Niezaufana ścieżka wyszukiwania w DeepSeek Harness (dsh) w commicie c291e796 pozwala atakującym na wykonanie dowolnego kodu poprzez dostarczenie i otwarcie spreparowanych plików wykonywalnych w miejsce prawdziwej zawartości.