Katalog podatności CVE

Funkcja Delete nie sprawdza poprawnie przesunięć podczas przetwarzania nieprawidłowego wejścia JSON. Może to prowadzić do ujemnego indeksu wycinka i paniki w czasie wykonania, umożliwiając atak odmowy usługi.

Dekoder msgpack nieprawidłowo weryfikuje długość bufora wejściowego podczas przetwarzania skróconych danych fixext (kody formatu 0xd4-0xd8). Może to prowadzić do odczytu poza granicami bufora oraz paniki w czasie wykonywania, co umożliwia atak typu denial of service.

Ruckus Unleashed zawiera podatność na zdalne wykonanie kodu w interfejsie zarządzania opartym na sieci web, która pozwala uwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu w systemie, gdy tryb bramy jest włączony. Atakujący mogą wykorzystać tę podatność, wysyłając specjalnie przygotowane żądania przez interfejs zarządzania.

W bibliotece do routingu wykryto podatność polegającą na generowaniu błędnego wyrażenia regularnego przy użyciu wielu sekwencyjnych opcjonalnych grup (składnia nawiasów klamrowych), np. `{a}{b}{c}:z`. Wygenerowane wyrażenie regularne rośnie wykładniczo wraz z liczbą grup, co prowadzi do odmowy usługi (DoS).

Ory Polis, wcześniej znany jako BoxyHQ Jackson, ma podatność typu Cross-Site Scripting (XSS) w funkcjonalności logowania. Wersje przed 26.2.0 nieprawidłowo ufają parametrowi URL (`callbackUrl`), co pozwala atakującemu na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika.

Ory Keto to otwartoźródłowy serwer autoryzacji do zarządzania uprawnieniami na dużą skalę. W wersjach przed 26.2.0 API GetRelationships jest podatne na atak typu SQL injection z powodu błędów w implementacji paginacji, co pozwala atakującym na tworzenie złośliwych tokenów paginacyjnych.

Zen C to język programowania systemowego, który kompiluje do czytelnego dla człowieka GNU C/C11. W wersjach przed 0.4.4 występuje podatność na przepełnienie bufora na stosie w kompilatorze Zen C, co może prowadzić do awarii kompilatora lub potencjalnego wykonania dowolnego kodu przez atakującego, który dostarczy specjalnie przygotowany plik źródłowy Zen C (.zc) z nadmiernie długimi identyfikatorami struktur, funkcji lub cech.

Tandoor Recipes to aplikacja do zarządzania przepisami, planowania posiłków i tworzenia list zakupów. W wersjach do 2.5.3 domyślnie ustawiono ALLOWED_HOSTS na '*', co pozwala Django na akceptację dowolnej wartości w nagłówku HTTP Host bez walidacji.

W systemie Daylight Studio FuelCMS w wersji 1.5.2 wykryto podatność na wstrzykiwanie SQL w komponencie /controllers/Login.php. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.

Ory Hydra, serwer OAuth 2.0 i dostawca OpenID Connect, przed wersją 26.2.0 ma podatność na SQL injection w API administracyjnym związanym z paginacją. Wady w implementacji paginacji umożliwiają atakującym tworzenie złośliwych tokenów, które mogą prowadzić do wykonania dowolnych zapytań SQL.

Ory Kratos, system zarządzania tożsamością i uwierzytelnianiem, przed wersją 26.2.0 ma podatność na SQL injection w API ListCourierMessages Admin z powodu błędów w implementacji paginacji. Atakujący mogą stworzyć złośliwe tokeny paginacji, co prowadzi do możliwości wykonania nieautoryzowanych zapytań SQL.

ORY Oathkeeper, będący proxy tożsamości i API do podejmowania decyzji o dostępie, jest podatny na obejście uwierzytelnienia w wersjach przed 26.2.0 z powodu zamieszania z kluczem pamięci podręcznej. Atakujący może wykorzystać ważny token do wypełnienia pamięci podręcznej, a następnie użyć go w regułach korzystających z innego serwera introspekcji.

W bibliotece goxmlsig w wersjach przed 1.6.0 występuje podatność związana z przechwytywaniem zmiennej pętli w funkcji validateSignature. Powoduje to, że wskaźnik ref zawsze wskazuje na ostatni element w tablicy References, co może prowadzić do nieprawidłowej walidacji podpisów XML.

Firecrawl w wersji 2.8.0 i wcześniejszych zawiera podatność na obejście ochrony przed fałszowaniem żądań po stronie serwera (SSRF) w usłudze skrobania Playwright. Walidacja polityki sieciowej jest stosowana tylko do początkowego adresu URL podanego przez użytkownika, a nie do kolejnych miejsc docelowych przekierowań. Atakujący może dostarczyć zewnętrznie poprawny URL, który przechodzi walidację i zwraca przekierowanie HTTP do wewnętrznego lub zastrzeżonego zasobu, umożliwiając przeglądarce podążenie za przekierowaniem i pobranie ostatecznego celu bez ponownej walidacji.

Podatność CVE-2026-4867 dotyczy generowania błędnych wyrażeń regularnych w przypadku, gdy w jednym segmencie znajduje się trzy lub więcej parametrów oddzielonych znakiem innym niż kropka. Problem ten prowadzi do nakładania się grup przechwytywania i powoduje katastrofalne cofanie się.

Wersje Mattermost 11.2.x do 11.2.2, 10.11.x do 10.11.10, 11.4.x do 11.4.0 oraz 11.3.x do 11.3.1 nie sanitizują treści postów kontrolowanych przez użytkowników w terminalu poleceń mmctl. To pozwala atakującym na manipulację terminalami administratorów za pomocą spreparowanych wiadomości zawierających sekwencje ucieczki ANSI i OSC, co umożliwia manipulację ekranem, fałszywe komunikaty oraz przechwytywanie schowka.

Kysely to typowo bezpieczny budowniczy zapytań SQL w TypeScript. W wersjach przed 0.28.14, metoda `DefaultQueryCompiler.sanitizeStringLiteral()` nie uciekała znaków backslash, co pozwalało atakującym na wstrzykiwanie dowolnego SQL poprzez wykorzystanie backslash do ucieczki z kontekstu łańcucha.

Kysely to typowy, bezpieczny budowniczy zapytań SQL w TypeScript. W wersjach 0.28.12 i 0.28.13 metoda `sanitizeStringLiteral` nie zabezpiecza odpowiednio znaków backslash, co pozwala na wstrzyknięcie złośliwego kodu SQL poprzez manipulację pojedynczymi cudzysłowami.

Briefcase to narzędzie do konwertowania projektu Python na samodzielną aplikację natywną. W wersjach od 0.3.0 do 0.3.26, instalacja projektu jako MSI dla wszystkich użytkowników może prowadzić do utworzenia katalogu dziedziczącego uprawnienia katalogu nadrzędnego, co pozwala na modyfikację binariów przez użytkowników o niskich uprawnieniach.

EVerest to oprogramowanie do ładowania pojazdów elektrycznych. W wersjach przed 2026.02.0 występuje wyścig danych prowadzący do nieokreślonego zachowania w C++ (potencjalna korupcja pamięci), co jest wywoływane przez wiadomość MQTT `everest_external/nodered/{connector}/cmd/switch_three_phases_while_charging` i skutkuje równoczesnym dostępem do `Charger::shared_context` / `internal_context` bez blokady. Wersja 2026.02.0 zawiera poprawkę.