Katalog podatności CVE

Podatność w Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0. Wtyczka discourse-local-dates renderowała sformatowane dane lokalnych dat jako HTML na stronach ze zmodyfikowaną lub wyłączoną domyślną polityką bezpieczeństwa treści.

Podatność w Pythonie (csv.Sniffer) polegająca na nadmiernym zużyciu CPU podczas przetwarzania próbek CSV kontrolowanych przez atakującego. Wykrywanie dialektu może powodować super-liniową pracę wyrażeń regularnych.

Podatność Open Redirect w phoenix_live_view w wersjach od 0.5.0 przed 1.0.19, od 1.1.0-rc.0 przed 1.1.33 i od 1.2.0-rc.0 przed 1.2.9. Atakujący może przekierować przeglądarkę ofiary na zewnętrzną stronę poprzez wartość :to zawierającą tabulator, LF lub CR.

Ominięcie autoryzacji w SemClipboardService przed wydaniem SMR Aug-2026 Release 1 umożliwia lokalnym atakującym dostęp do danych schowka.

Wtyczka Accept PayPal & Stripe with Subscriptions for WooCommerce do WordPressa do wersji 3.1.0 nie weryfikuje faktycznie zapłaconej kwoty względem sumy zamówienia w handlerze zwrotnym PayPal Data Transfer, co pozwala klientowi zapłacić mniej niż suma zamówienia i nadal mieć zamówienie oznaczone jako w pełni opłacone, gdy funkcja PayPal Data Transfer jest włączona.

Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 9.7 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest powiązany z klientem, którego dane są dostępne, co pozwala każdemu pracownikowi z loginem do Panelu Pracownika na odczyt i modyfikację danych osobowych dowolnego klienta poprzez enumerację sekwencyjnych identyfikatorów.

Wtyczka LearnPress dla WordPressa przed wersją 4.4.4 nie waliduje adresu URL podanego przez użytkownika przed pobraniem go przez serwer, co pozwala użytkownikom z rolą instruktora na skłonienie serwera do wysyłania żądań do dowolnych zewnętrznych hostów, co stanowi ślepe i ograniczone podrobienie żądania po stronie serwera (SSRF).

Wykryto słabość w Almico Speedfan 4.52, dotyczącą funkcji KiSystemCall64 w bibliotece speedfan.sys, w komponencie MSR Index Handler. Manipulacja może prowadzić do wycieku pamięci. Atak wymaga dostępu lokalnego, a exploit jest publicznie dostępny.

Zidentyfikowano podatność w Mullvad wireguard.sys 0.10.1, dotyczącą funkcji AdapterState w komponencie IOCTL Handler. Manipulacja prowadzi do nieprawidłowej aktualizacji licznika referencji. Wymagany jest dostęp lokalny, a exploit jest publicznie dostępny.

Podatność typu Server-Side Request Forgery (SSRF) istnieje w nltk/nltk w wersji 3.9.4 i w bieżącej gałęzi develop. Funkcja nltk.pathsec.validate_network_url(), mająca zapobiegać SSRF poprzez odrzucanie adresów sieci wewnętrznej, nie odrzuca adresów IP z przestrzeni współdzielonej RFC 6598 (100.64.0.0/10). Dzieje się tak, ponieważ moduł ipaddress w Pythonie nie klasyfikuje takich adresów jako is_private ani is_global, a obecna kontrola sprawdza tylko is_private i kilka jawnych kategorii. Atakujący, który może wpływać na URL przekazywany do pomocników ładowania sieciowego NLTK, może wykorzystać tę podatność, aby aplikacja w trybie ścisłym wysyłała żądania do hostów w przestrzeni współdzielonej, potencjalnie ujawniając niepubliczną infrastrukturę dostępną z hosta aplikacji. Wpływ ogranicza się do ujawnienia poufności w stylu SSRF, bez deklaracji wykonania kodu.

Podatność w PV-Bhat gemsuite-mcp 1.0.0 dotyczy nieznanej funkcjonalności w pliku src/handlers/unified-gemini.ts komponentu gemini_search/gemini_reason/gemini_process/gemini_analyze. Manipulacja argumentem file_path/file_paths prowadzi do path traversal. Atak musi być zainicjowany lokalnie. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.

Podatność nieprawidłowej neutralizacji specjalnych elementów w logice zapytań danych w ash-project ash pozwala atakującemu sfałszować relację do rekordu, którego nie zna, oraz odzyskać sekretną wartość używaną do jego wyszukania. Gdy manage_relationship jest używane z on_lookup: :relate na relacji belongs_to, wartość lookup dostarczona przez klienta jest przekazywana do Ash.Query.filter/2 bez rzutowania na typ atrybutu. Zagnieżdżona mapa przesłana tam, gdzie oczekiwany jest skalar, jest interpretowana jako predykat filtra, a nie literał, więc wyszukiwanie konkretnego rekordu staje się zapytaniem o dowolny rekord spełniający warunek. Ta sama ścieżka pomija Ash.Query.limit(1), pozostawiając Ash.read_one/2 zdolnym do rozróżnienia braku dopasowania od jednego dopasowania od kilku, co zamienia predykaty porównawcze w wyrocznię dla wartości lookup. Autoryzacja nie jest naruszona; polityka odczytu docelowego nadal obowiązuje.

Znaleziono wadę w macrozheng mall 0504e86. Podatność dotyczy nieznanego kodu w pliku /sso/getAuthCode modułu mall-portal. Wykonanie manipulacji może prowadzić do słabego odzyskiwania hasła. Atak może być uruchomiony zdalnie. Charakteryzuje się wysoką złożonością. Wykorzystanie jest trudne. Exploit został opublikowany i może być użyty. Producent usunął zgłoszenie GitHub bez wyjaśnienia i nie odpowiedział na kontakt mailowy.

W produkcie lossless-cut do wersji 3.69.0 wykryto podatność prowadzącą do podrobienia żądań po stronie serwera (SSRF) w nieznanej funkcji pliku src/main/httpServer.ts komponentu Built-in HTTP API Service. Atak wymaga dostępu do sieci lokalnej i charakteryzuje się wysoką złożonością. Exploit został publicznie ujawniony.

Wtyczka Nexter Blocks WordPress przed wersją 5.0.2 nie ogranicza, kto może zapisywać globalny CSS przez jeden z jej punktów końcowych REST, co pozwala użytkownikom z rolą co najmniej Contributor na przechowywanie dowolnego CSS, który jest renderowany w całej witrynie na froncie, umożliwiając defacement, ukrywanie treści i manipulację interfejsem.

Wtyczka Slim SEO WordPress przed wersją 4.9.11 nie ogranicza funkcji podglądu meta wpisów do postów, które użytkownik może edytować, weryfikując tylko dostęp do odczytu, co pozwala użytkownikom z rolą Contributor na odczyt dowolnych meta wpisów, w tym chronionych i prywatnych kluczy, opublikowanych postów, których nie są właścicielami, w tym postów chronionych hasłem i postów niepublicznych typów.

Zidentyfikowano słabość w shadcn-vue-mcp do wersji e170e277b94235cde627803277fc8c41103a4d38. Problem dotyczy funkcji fs.promises.readFile w pliku src/server/callback-server.ts, gdzie manipulacja argumentem filepath prowadzi do path traversal. Atak ograniczony jest do wykonania lokalnego.

Podatność w jądrze Zephyr dotyczy funkcji z_queue_node_peek() w kernel/queue.c, która odczytuje węzeł z listy data_q bez trzymania spinlocka kolejki. Współbieżne wywołanie k_queue_get() może zwolnić ten węzeł w trakcie operacji, prowadząc do use-after-free i zwrócenia wiszącego wskaźnika. Dotyczy to kolejek k_fifo i k_lifo używanych w subsystemach net_buf, Bluetooth, USB i sieci.

Podatność w HKUDS nanobot do wersji 0.2.1 dotyczy funkcji ExecTool._prepare_command w pliku nanobot/agent/tools/shell.py komponentu Login-shell Environment Handler. Wykonanie manipulacji może prowadzić do ujawnienia informacji. Atak wymaga dostępu lokalnego, a exploit został opublikowany.

Hono to framework aplikacji webowych wspierający dowolne środowisko JavaScript. Od wersji 4.7.0 do 4.12.33 funkcja proxy() w hono/proxy nie usuwa nagłówków odpowiedzi wskazanych przez nagłówek Connection origin. Zgodnie z RFC 9110, pośrednik musi usunąć te nagłówki przed przekazaniem, ale funkcja usuwa tylko standardowe nagłówki hop-by-hop, co może prowadzić do ujawnienia metadanych wewnętrznych.