Katalog podatności CVE

W dniu 11 maja 2026 roku opublikowano 84 złośliwe wersje w 42 pakietach @tanstack/* w rejestrze npm. Atakujący wykorzystał trzy znane klasy podatności, aby opublikować złośliwe oprogramowanie kradnące dane uwierzytelniające pod zaufaną tożsamością.

LiteLLM w wersjach od 1.74.2 do 1.83.6 zawiera podatność w endpointach POST /mcp-rest/test/connection i POST /mcp-rest/test/tools/list, które akceptują pełną konfigurację serwera MCP, w tym polecenia do wykonania. Uwierzytelniony użytkownik z dowolnym kluczem API może uruchomić dowolne polecenie na hoście proxy.

W wersjach LiteLLM od 1.81.16 do 1.83.7 występuje podatność na wstrzykiwanie SQL w zapytaniu do bazy danych używanym podczas sprawdzania kluczy API proxy. Nieuwierzytelniony atakujący może wysłać spreparowany nagłówek Authorization do dowolnej trasy API LLM, co prowadzi do odczytu i potencjalnie modyfikacji danych w bazie proxy.

W Ivanti EPMM przed wersjami 12.6.1.1, 12.7.0.1 i 12.8.0.1 występuje niewłaściwa walidacja danych wejściowych, która pozwala zdalnie uwierzytelnionemu użytkownikowi z dostępem administracyjnym na zdalne wykonanie kodu.

W jądrze Linuxa stwierdzono podatność w implementacji algorytmu szyfrowania AEAD przez interfejs algorytmiczny (algif_aead). Polega ona na nieprawidłowym działaniu operacji w miejscu (in-place), co może prowadzić do błędów w przetwarzaniu danych. Łatka przywraca działanie poza miejscem (out-of-place) i upraszcza kod.

Niewystarczająca szczegółowość kontroli dostępu w Microsoft Defender umożliwia autoryzowanemu atakującemu lokalną eskalację uprawnień.

Podwójne zwolnienie pamięci (double free) w rozszerzeniu Windows IKE Extension umożliwia nieautoryzowanemu atakującemu wykonanie kodu przez sieć.

Podatność w powłoce systemu Windows umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku typu spoofing (podszywanie się) przez sieć. Problem wynika z niewłaściwego mechanizmu ochrony.

W Fortinet FortiSandbox w wersjach 4.4.0 do 4.4.8 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Luka ta wynika z nieprawidłowej neutralizacji specjalnych elementów w poleceniach OS.

W Apache Tomcat wykryto brak szyfrowania wrażliwych danych spowodowany poprawką dla CVE-2026-29146, która umożliwia ominięcie EncryptInterceptor. Podatność dotyczy wersji 11.0.20, 10.1.53 oraz 9.0.116.

Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na serwerze poprzez endpoint Jolokia JMX-HTTP. Atak polega na wywołaniu operacji dodania łącznika sieciowego z fałszywym URI, który ładuje zdalny kontekst Spring XML, co prowadzi do wykonania dowolnego kodu w JVM brokera.

Podatność w Fortinet FortiClientEMS w wersjach 7.4.5 do 7.4.6 umożliwia nieuwierzytelnionemu atakującemu wykonanie nieautoryzowanego kodu lub poleceń poprzez spreparowane żądania. Problem wynika z nieprawidłowej kontroli dostępu.

Podatność Use-after-free w komponencie Dawn w przeglądarce Google Chrome przed wersją 146.0.7680.178 umożliwia zdalnemu atakującemu, który skompromitował proces renderowania, wykonanie dowolnego kodu za pomocą spreparowanej strony HTML. Problem ma wysoki poziom ważności wg Chromium.

W urządzeniach Lantronix EDS5000 w wersji 2.1.0.0R3 odkryto podatność polegającą na wstrzykiwaniu poleceń systemu operacyjnego. Moduł HTTP RPC wykonuje polecenie powłoki do zapisu logów po nieudanym uwierzytelnieniu, a nazwa użytkownika jest bezpośrednio łączona z poleceniem bez żadnej sanityzacji. Atakujący mogą wstrzyknąć dowolne polecenia OS w parametr nazwy użytkownika, które są wykonywane z uprawnieniami root.

Podatność w mechanizmie uwierzytelniania peeringu w Cisco Catalyst SD-WAN Controller, Manager i Validator umożliwia zdalnemu atakującemu bez uwierzytelnienia ominięcie procesu logowania i uzyskanie uprawnień administracyjnych na podatnym systemie.

Podatność w Fortinet FortiOS umożliwia zdalnemu, nieuwierzytelnionemu atakującemu ominięcie łatki opracowanej dla mechanizmu trwałości dowiązań symbolicznych, wykorzystywanej w niektórych przypadkach po eksploacie. Atak wymaga wcześniejszego skompromitowania produktu przez inną podatność na poziomie systemu plików.

W Fortinet FortiAnalyzer, FortiManager, FortiNAC-F, FortiOS, FortiProxy oraz FortiWeb występuje podatność na obejście uwierzytelnienia, która pozwala atakującemu z kontem FortiCloud i zarejestrowanym urządzeniem na zalogowanie się do innych urządzeń zarejestrowanych na innych kontach, jeśli na tych urządzeniach włączono uwierzytelnianie SSO FortiCloud.

Zaufanie do niezweryfikowanych danych wejściowych w decyzji bezpieczeństwa w Microsoft Office umożliwia nieautoryzowanemu atakującemu lokalne obejście funkcji zabezpieczeń.

Wersje SmarterTools SmarterMail przed wersją 9511 zawierają podatność na zdalne wykonanie kodu bez uwierzytelnienia w metodzie API ConnectToHub. Atakujący może skierować SmarterMail na złośliwy serwer HTTP, który dostarcza złośliwe polecenie systemowe, które zostanie wykonane przez podatną aplikację.

Podatność w Langflow umożliwia zdalne wykonanie kodu poprzez parametr exec_globals w endpoint validate. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy kod z niezaufanego źródła.