Katalog podatności CVE

W podatności CVE-2025-61154 występuje przepełnienie bufora na stercie w wersjach LibreDWG od v0.13.3.7571 do v0.13.3.7835. Złośliwie przygotowany plik DWG może spowodować awarię usługi (DoS) poprzez funkcję decompress_R2004_section w pliku decode.c.

Użytkownik z uprawnieniami w Ignition może zaimportować zewnętrzny plik z specjalnie przygotowanym ładunkiem, co prowadzi do wykonania osadzonego złośliwego kodu.

W Progress Flowmon ADS przed wersjami 12.5.5 i 13.0.3 istnieje podatność, w której przeciwnik z dostępem do portów monitorujących Flowmon może stworzyć złośliwe dane sieciowe. Gdy dane te zostaną przetworzone przez Flowmon ADS i wyświetlone uwierzytelnionemu użytkownikowi, mogą spowodować niezamierzone działania w kontekście przeglądarki użytkownika.

W Progress Flowmon ADS przed wersjami 12.5.5 i 13.0.3 istnieje podatność, w której administrator, klikając złośliwy link dostarczony przez atakującego, może nieświadomie wywołać niezamierzone działania w swojej uwierzytelnionej sesji webowej.

Podatność niewystarczającej weryfikacji integralności w procesie instalacji sterownika ASUS ROG peripheral umożliwia eskalację uprawnień do SYSTEM. Wynika to z nieprawidłowej kontroli dostępu do katalogu instalacyjnego, co umożliwia wykorzystanie wyścigu, w którym legalny instalator jest podmieniany na nieoczekiwany payload natychmiast po pobraniu, prowadząc do wykonania dowolnego kodu.

Potencjalna podatność w Lenovo PC Manager, która może pozwolić lokalnemu uwierzytelnionemu użytkownikowi na zakończenie procesów uprzywilejowanych.

W sterowniku Lenovo Virtual Bus używanym w Smart Connect wykryto potencjalną podatność na dzielenie przez zero. Może ona pozwolić lokalnemu uwierzytelnionemu użytkownikowi na wywołanie błędu niebieskiego ekranu w systemie Windows.

W sterowniku Lenovo Virtual Bus używanym w Smart Connect wykryto potencjalną podatność na przepełnienie bufora. Może ona pozwolić lokalnemu uwierzytelnionemu użytkownikowi na uszkodzenie pamięci i wywołanie błędu niebieskiego ekranu w systemie Windows.

W aplikacji Lenovo Filez zgłoszono podatność niewłaściwej walidacji certyfikatów. Użytkownik zdolny do przechwytywania ruchu sieciowego może uzyskać wrażliwe dane użytkownika z aplikacji.

Wykryto wadę w Account REST API Keycloak, która pozwala użytkownikowi uwierzytelnionemu na niższym poziomie bezpieczeństwa wykonywać wrażliwe działania przeznaczone tylko dla sesji o wyższym poziomie zaufania. Konkretnie, atakujący, który już zdobył hasło ofiary, może usunąć zarejestrowane poświadczenie MFA/OTP ofiary bez uprzedniego udowodnienia posiadania tego czynnika. Następnie atakujący może zarejestrować własne urządzenie MFA, skutecznie przejmując pełną kontrolę nad kontem. Ta słabość podważa ochronę zapewnianą przez uwierzytelnianie wieloskładnikowe.

Podatność w interfejsie zarządzania opartym na sieci Web w Cisco Unified Contact Center Express (Unified CCX) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataków typu cross-site scripting (XSS) na użytkownika tego interfejsu. Problem wynika z niewystarczającej walidacji danych wejściowych dostarczanych przez użytkownika.

W bibliotece GNU C Library w wersji 2.36 na systemach x86_64, wywołanie funkcji korzystających z pamięci podręcznej nscd może prowadzić do awarii. Problem wynika z optymalizacji memcmp, która przy współbieżnej modyfikacji danych przez inne wątki może powodować crash klienta nscd i aplikacji go używającej.

Podatność CVE-2026-3784 dotyczy narzędzia curl, które błędnie ponownie wykorzystuje istniejące połączenie HTTP proxy podczas wykonywania żądania CONNECT do serwera, nawet jeśli nowe żądanie używa innych poświadczeń dla proxy. Oczekiwane zachowanie to utworzenie lub użycie oddzielnego połączenia.

Gdy token bearer OAuth2 jest używany do transferu HTTP(S), a transfer wykonuje przekierowanie na drugi URL, curl może w pewnych okolicznościach wyciec ten token do drugiej nazwy hosta. Jeśli hostname, na który następuje przekierowanie, ma wpis w pliku .netrc ze słowem kluczowym machine lub default, curl przekaże token bearer ustawiony dla pierwszego hosta również do drugiego.

W bibliotece libcurl występuje błąd logiczny w mechanizmie ponownego wykorzystywania połączeń. W pewnych okolicznościach żądanie HTTP lub HTTPS z uwierzytelnianiem Negotiate może błędnie użyć istniejącego połączenia uwierzytelnionego innymi danymi logowania. W efekcie drugie żądanie z innymi poświadczeniami może zostać wysłane przez połączenie uwierzytelnione dla pierwszego użytkownika.

Adobe Commerce w wersjach do 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych zawiera podatność na przechodzenie poza katalog (Path Traversal), która może prowadzić do obejścia zabezpieczeń. Atakujący z wysokimi uprawnieniami może uzyskać dostęp do nieautoryzowanych plików lub katalogów poza zamierzonym ograniczonym ścieżką. Eksploatacja nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych ma podatność na nieprawidłową autoryzację, co może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący może ominąć zabezpieczenia i mieć ograniczony wpływ na integralność i dostępność danych. Wykorzystanie zależy od warunków poza kontrolą atakującego i nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach do 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych zawiera podatność na nieprawidłową walidację danych wejściowych, która może prowadzić do obejścia zabezpieczeń z ograniczonym wpływem na integralność. Eksploatacja nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach do 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych zawiera podatność na nieprawidłową autoryzację, która może prowadzić do obejścia zabezpieczeń. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do ominięcia środków bezpieczeństwa i uzyskania ograniczonego nieautoryzowanego dostępu do funkcji. Eksploatacja nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach do 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych zawiera podatność na nieprawidłową autoryzację, która może prowadzić do obejścia zabezpieczeń. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do ominięcia środków bezpieczeństwa i uzyskania ograniczonego nieautoryzowanego dostępu do danych. Eksploatacja nie wymaga interakcji użytkownika.