Katalog podatności CVE

W mechanizmie cifs.idmap nieprawidłowo przetwarzano długość ładunku klucza, który może być obcięty do rozmiaru U16_MAX. Brak odrzucania zbyt dużych ładunków prowadził do niespójności długości i potencjalnych błędów pamięci.

W cfg80211 funkcji cfg80211_wext_siwgenie() brakowało walidacji bufora IE, co prowadziło do odczytu poza zakresem i niedomiaru liczby całkowitej przy przetwarzaniu przez późniejsze operacje. Dodano sprawdzanie przed zapisem.

W Bluetooth RFCOMM brakowało walidacji długości ramki w funkcji rfcomm_recv_frame, co pozwalało na odczyt poza zakresem przy skróconych ramkach oraz niedomiar długości (UINT_MAX) przy zerowej długości. Poprawka odrzuca ramki mniejsze niż wymagany rozmiar.

W vhost-scsi występował wyścig między przesłaniem komend a podmianą tablicy pamięci (VHOST_SET_MEM_TABLE), co mogło skutkować zapisem odpowiedzi do niepowiązanego obiektu po zakończeniu operacji. Poprawka opróżnia backend po ioctl.

W jądrze Linux wykryto podatność w podsystemie SCSI, gdzie funkcja scsi_eh_lock_door() może blokować się podczas alokacji tagów, gdy wszystkie tagi są zajęte przez ponownie zakolejkowane komendy. Prowadzi to do zakleszczenia (deadlock) w wątku obsługi błędów, szczególnie dla urządzeń z pojedynczym tagiem (np. USB storage).

Odczyt poza zakresem w funkcji XListInputDevices() w libXi przed wersją 1.8.4 może być wykorzystany przez złośliwe serwery X do spowodowania awarii podłączonego klienta X.

Odczyt poza zakresem w parsowaniu odpowiedzi XIQueryDevice w libXi przed wersją 1.8.4 może być wykorzystany przez złośliwy serwer X do spowodowania awarii podłączonego klienta X.

W bibliotece libXi przed wersją 1.8.4 występuje odczyt poza zakresem w parserze klas XI2. Złośliwy serwer X może wykorzystać tę wadę do spowodowania awarii klienta X.

Odczyt poza zakresem w parsowaniu klas XI2 w libXi przed wersją 1.8.4, w funkcjach size_classes() i copy_classes(), może być wykorzystany przez złośliwe serwery do spowodowania awarii klienta X.

W jądrze Linuxa w module netfilter nfnetlink_log występuje problem z synchronizacją: funkcja nfnl_log_net_exit() czyści wskaźnik logera bez oczekiwania na okres RCU, co może prowadzić do użycia zwolnionej pamięci przez równoległe pakiety. Poprawka przenosi czyszczenie do .pre_exit, aby zapewnić zakończenie czytelników RCU przed zwolnieniem pamięci per-net.

W jądrze Linux wykryto podatność w podsystemie i2c/smbus polegającą na braku wczesnej walidacji długości transferu blokowego SMBus. Zbyt duża, kontrolowana przez użytkownika wartość data->block[0] może trafić do tracepointów oraz implementacji smbus_xfer sterowników bez sprawdzenia, co prowadzi do przepełnienia bufora poza zakresem (out-of-bounds).

W jądrze Linuxa w module appletalk funkcja aarp_send_ddp() wywołuje atalk_find_dev_addr() bez sprawdzenia wartości NULL, co prowadzi do dereferencji wskaźnika NULL, gdy urządzenie nie ma skonfigurowanego interfejsu AppleTalk. Poprawka dodaje sprawdzenie NULL, zgodnie z innymi wywołaniami tej funkcji.

W jądrze Linuxa w systemie plików f2fs struktura f2fs_gc_kthread jest alokowana dynamicznie, co prowadzi do wyścigu podczas zamykania: wątek GC może uzyskać dostęp do zwolnionej pamięci. Poprawka osadza f2fs_gc_kthread w f2fs_sb_info, upraszczając zarządzanie cyklem życia i przygotowując grunt pod naprawę wyścigów.

W jądrze Linuxa w sterowniku DRM (drm/pagemap) funkcja drm_pagemap_migrate_unmap_pages() opiera się na tablicy stron do DMA unmap, ale funkcja drm_pagemap_migration_unlock_put_pages() czyści tę tablicę podczas sprzątania, co powoduje brak ważnych informacji o stronach. Poprawka wywołuje funkcję unmap przed unlock_put_pages, aby tablica pozostała ważna.

OpenWA przed wersją 0.23.5 pozwala użytkownikowi z kluczem VIEWER na pobranie kodu zaproszenia do grupy, bez wymagania roli OPERATOR. Kod zaproszenia jest przenośny, przez co nieautoryzowane konto może dołączyć do grupy, czytać i pisać wiadomości, a także pozostać członkiem po unieważnieniu klucza VIEWER.

W OpenWA przed wersją 0.23.5, brama WebSocket /events dostarcza zdarzenie session.qr do klucza API VIEWER, gdy subskrybuje on według nazwy zdarzenia lub przez wildcard, mimo że GET /api/sessions/{sessionId}/qr wymaga roli OPERATOR. Gdy sesja oczekuje na parowanie, ujawniony QR pozwala posiadaczowi klucza podłączyć zewnętrzne urządzenie do konta WhatsApp i czytać oraz wysyłać wiadomości poza OpenWA i jego ścieżką audytową. Klucze ograniczone przez allowedSessions pozostają ograniczone do tych sesji.

Discourse przed wskazanymi wersjami pozwalał na przechowywany atak typu cross-origin iframe, który omijał politykę allowed_iframes dzięki zakodowanemu userinfo w atrybucie src. Uwierzytelniony użytkownik z uprawnieniami do pisania mógł umieścić iframe w poście, co prowadziło do renderowania treści z kontrolowanej przez atakującego domeny.

Discourse przed wskazanymi wersjami umożliwiał uwierzytelnionym użytkownikom wstrzyknięcie niezabezpieczonych znaków wildcard SQL (takich jak % i _) we wzorcach rozpoznawania uploadów, co powodowało wybieranie niepowiązanych rekordów. Dostęp do niedozwolonych metadanych, w tym nazw plików i ścieżek secure-upload, był możliwy bez modyfikacji rekordów.

Discourse przed wskazanymi wersjami, gdy używano wzorców wildcard w ustawieniu allowed_iframes, mógł akceptować spreparowany adres URL iframe, którego zezwolony sufiks pojawiał się po separatorze authority. Kontrola pochodzenia omijała listę, a przeglądarka wybierała inny atakowany origin, co pozwalało na renderowanie kontrolowanego iframe.

W Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0, zabezpieczenie sprawdzające źródła iframe nie traktowało dosłownych backslashów jako separatorów ścieżek po zdekodowanych segmentach kropek. Specjalnie spreparowane źródło mogło przejść kontrolę allowed_iframes, podczas gdy normalizacja adresu URL w przeglądarce przesuwała iframe poza dozwoloną ścieżkę. W efekcie iframe mógł ładować treść z lokalizacji nieautoryzowanej przez administratora.