Katalog podatności CVE

LiteLLM w wersji przed 1.83.0 zawiera podatność polegającą na braku wymagania autoryzacji roli administratora dla endpointu /config/update. Uwierzytelniony użytkownik może modyfikować konfigurację proxy, zmienne środowiskowe oraz rejestrować własne procedury obsługi endpointów, co prowadzi do zdalnego wykonania kodu, odczytu plików serwera i przejęcia kont uprzywilejowanych.

Antrea, rozwiązanie sieciowe dla Kubernetes, przed wersjami 2.4.5 i 2.5.2, ma lukę związaną z brakiem szyfrowania, która wpływa na ruch między węzłami Pod. W klastrach Antrea skonfigurowanych do pracy w trybie dual-stack z włączonym szyfrowaniem IPsec, ruch IPv6 jest przesyłany w postaci niezaszyfrowanej.

Go JOSE przed wersjami 4.1.4 i 3.0.5 zawiera podatność, w której deszyfrowanie obiektu JWE może spowodować panic, jeśli pole alg wskazuje na algorytm zawijania klucza (kończący się na KW, z wyjątkiem A128GCMKW, A192GCMKW i A256GCMKW), a pole encrypted_key jest puste. Panic występuje przy próbie alokacji wycinka o zerowej lub ujemnej długości. Może to prowadzić do odmowy usługi.

Plunk to otwartoźródłowa platforma e-mailowa oparta na AWS SES. W wersjach przed 0.8.0 odkryto podatność na wstrzykiwanie nagłówków CRLF w pliku SESService.ts, gdzie wartości dostarczane przez użytkownika były interpolowane bez sanitizacji, co pozwalało na wstrzykiwanie dowolnych nagłówków e-mailowych przez uwierzytelnionego użytkownika API.

Ferret to deklaratywny system do pracy z danymi internetowymi. W wersjach przed 2.0.0-alpha.4 występuje podatność na traversję ścieżek w funkcji IO::FS::WRITE, która pozwala złośliwej stronie internetowej na zapis dowolnych plików w systemie plików maszyny uruchamiającej Ferret.

W systemie Online FIR 1.0 zidentyfikowano podatność bezpieczeństwa w pliku /Login/checklogin.php, która dotyczy funkcjonalności logowania. Manipulacja argumentami email i hasło prowadzi do możliwości wykonania ataku typu SQL injection zdalnie.

Podatność w Vimie przed wersją 9.2.0276 umożliwia ominięcie zabezpieczeń modeliny i wykonanie dowolnych poleceń systemowych. Brak flagi `P_MLE` dla opcji `complete`, `guitabtooltip` i `printheader` oraz brak wywołania `check_secure()` w funkcji `mapset()` pozwalają na wykonanie złośliwego kodu z poziomu modeliny.

Nhost to otwarte źródło alternatywy dla Firebase z GraphQL. W wersjach przed 0.48.0, proces zwrotu tokena od dostawcy OAuth w usłudze autoryzacji umieszczał token odświeżający bezpośrednio w adresie URL jako parametr zapytania.

KubeAI to operator inferencji AI dla Kubernetes. W wersjach przed 0.23.2 funkcja ollamaStartupProbeScript() w pliku internal/modelcontroller/engine_ollama.go tworzy ciąg polecenia powłoki z użyciem fmt.Sprintf z niesanitizowanymi komponentami URL modelu. To polecenie jest wykonywane za pomocą bash -c jako probe startowy Kubernetes.

W bibliotece OpenEXR w wersjach od 3.1.0 do 3.2.6, 3.3.8 i 3.4.8 wykryto podatność w funkcji internal_exr_undo_piz(). Arytmetyka na 32-bitowych liczbach całkowitych ze znakiem może spowodować przepełnienie i zawinięcie wskaźnika, co prowadzi do odczytu i zapisu poza dozwolonym obszarem pamięci podczas dekodowania plików EXR.

W bibliotece OpenEXR w wersjach od 3.2.0 do 3.2.7, 3.3.9 i 3.4.9 występuje podatność polegająca na niezgodnym z wymaganiami zapisie pamięci w funkcji LossyDctDecoder_execute(). Podczas dekodowania skompresowanego pliku EXR z kanałem typu FLOAT, wskaźnik do wiersza bufora może być niewyrównany do 4 bajtów, co prowadzi do niezdefiniowanego zachowania i awarii na architekturach wymagających wyrównania (ARM, RISC-V).

SandboxJS to biblioteka do sandboxingu JavaScript. Przed wersją 0.8.36 istniała podatność na modyfikację zakresu w @nyariv/sandboxjs, która pozwalała na wyciek wewnętrznych obiektów interpretera do nieufnego kodu, co prowadziło do niepożądanych exploitów.

SandboxJS to biblioteka do sandboxingu JavaScript. W wersjach przed 0.8.36 parser @nyariv/sandboxjs zawierał nieograniczoną rekurencję w funkcji restOfExp oraz w łańcuchu wywołań lispify/lispifyExpr, co pozwalało atakującemu na zablokowanie dowolnego procesu Node.js przetwarzającego nieufne dane wejściowe poprzez dostarczenie głęboko zagnieżdżonych wyrażeń.

Fedify to biblioteka TypeScript do budowania aplikacji serwerowych opartych na ActivityPub. W wersjach przed 1.9.6, 1.10.5, 2.0.8 i 2.1.1, @fedify/fedify nie ogranicza liczby przekierowań HTTP, co może prowadzić do niekontrolowanego zużycia zasobów przez atakującego.

curl_cffi to binding Pythona dla curl. W wersjach przed 0.15.0, curl_cffi nie ograniczał żądań do wewnętrznych zakresów IP i automatycznie podążał za przekierowaniami za pomocą libcurl, co umożliwiało atakującym przekierowywanie żądań do wewnętrznych usług.

Podatność CVE-2026-21382 dotyczy uszkodzenia pamięci, które występuje podczas obsługi żądań zarządzania energią z niewłaściwie dobranymi buforami wejścia/wyjścia. Może to prowadzić do nieprzewidzianych zachowań systemu.

Podatność CVE-2026-21381 dotyczy przejściowego ataku typu DoS, który występuje podczas odbierania ramki danych serwisowych o nadmiernej długości w trakcie dopasowywania urządzeń za pomocą protokołu sieciowej świadomości sąsiedztwa.

Podatność CVE-2026-21380 dotyczy uszkodzenia pamięci, które występuje podczas korzystania z przestarzałych wywołań IOCTL DMABUF do zarządzania pamięcią wideo. Może to prowadzić do nieprzewidzianego zachowania systemu.

Podatność CVE-2026-21378 dotyczy uszkodzenia pamięci, które występuje podczas przetwarzania IOCTL w sterowniku czujnika kamery, gdy dostęp do bufora wyjściowego nie jest odpowiednio walidowany pod kątem jego rozmiaru.

Podatność CVE-2026-21376 dotyczy uszkodzenia pamięci, które występuje podczas przetwarzania IOCTL w sterowniku czujnika kamery, gdy dostęp do bufora wyjściowego nie jest odpowiednio walidowany pod kątem jego rozmiaru.