Katalog podatności CVE

W ImageMagick przed wersjami 7.1.2-16 i 6.9.13-41 występuje podatność polegająca na dereferencji niezainicjalizowanego wskaźnika w dekoderze JBIG. Brak odpowiedniego sprawdzenia może prowadzić do nieprzewidzianego zachowania.

W ImageMagick, przed wersjami 7.1.2-16 i 6.9.13-41, występuje przepełnienie bufora stosu w funkcjach parsowania rdzeni morfologicznych. Napastnik może wprowadzić złośliwe ciągi rdzeni, które przekraczają rozmiar bufora, co prowadzi do uszkodzenia stosu.

Misskey to otwartoźródłowa, federacyjna platforma mediów społecznościowych. Wszystkie serwery Misskey przed wersją 2026.3.1 zawierają podatność, która pozwala na ominięcie weryfikacji podpisu HTTP. Ta podatność dotyczy wszystkich serwerów, niezależnie od tego, czy federacja jest włączona, czy wyłączona.

Misskey to otwartoźródłowa, federacyjna platforma mediów społecznościowych. Wszystkie serwery Misskey działające w wersjach od 8.45.0 do przed 2026.3.1 zawierają podatność, która umożliwia nieuprawnionym osobom dostęp do danych, do których normalnie nie miałyby dostępu z powodu niewystarczających kontroli uprawnień i odpowiedniej walidacji danych wejściowych.

W ingress-nginx odkryto problem bezpieczeństwa, w którym adnotacja `nginx.ingress.kubernetes.io/rewrite-target` może być wykorzystana do wstrzykiwania konfiguracji do nginx. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia tajemnic dostępnych dla kontrolera.

W vLLM w wersji 0.17.0 obejście zabezpieczenia SSRF dodanego w CVE-2026-24779 jest możliwe w metodzie load_from_url_async z powodu niespójności w parsowaniu URL-i między warstwą walidacji a rzeczywistym klientem HTTP. Walidacja używa urllib3.util.parse_url(), podczas gdy zapytania HTTP wykonuje aiohttp z biblioteką yarl, co pozwala na ominięcie ochrony.

Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. W wersjach 3.24.0 i wcześniejszych występuje podatność na przesyłanie dowolnych plików, mimo że skonfigurowano ograniczenia dotyczące rozszerzeń plików. Ograniczenia te są egzekwowane tylko na poziomie interfejsu użytkownika.

Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. Problem ten dotyczy eskalacji uprawnień oraz niebezpiecznego bezpośredniego odniesienia do obiektów (IDOR) z powodu braku serwerowych kontroli RBAC w punktach końcowych /api/global/users.

W wersji 1.13.4 portalu SunbirdEd odkryto problem związany z CWE-22: Niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu ('Przechodzenie po ścieżkach').

Budibase to platforma low-code do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. W wersjach 3.23.22 i wcześniejszych integracja z PostgreSQL konstruuje polecenia powłoki przy użyciu wartości konfiguracyjnych kontrolowanych przez użytkownika bez odpowiedniej sanitizacji.

Funkcja `filestring()` w module `nltk.util` biblioteki NLTK w wersji 3.9.2 zawiera podatność na odczyt dowolnych plików z powodu braku walidacji ścieżek wejściowych. Funkcja otwiera pliki wskazane przez użytkownika bez odpowiedniego oczyszczania, co umożliwia atakującym dostęp do wrażliwych plików systemowych poprzez podanie ścieżek absolutnych lub wykorzystanie przejść katalogowych.

W wersji 1.13.4 portalu SunbirdEd odkryto problem związany z CWE-352: Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę podatność do wysyłania nieautoryzowanych żądań w imieniu użytkowników.

W wersji 1.13.4 portalu SunbirdEd odkryto problem związany z CWE-1333: Nieskuteczna złożoność wyrażeń regularnych. Może to prowadzić do nieefektywnego przetwarzania danych.

FreshRSS, darmowy i samodzielnie hostowany agregator RSS, zawiera podatność w wersjach rozwojowych (od 57e1a37 do 00f2f04), gdzie długość nonce zmieniono z 40 na 64 znaki. Funkcja password_verify() jest wywoływana z konstruowanym ciągiem (SHA-256 nonce + część hasha bcrypt) zamiast z surowym hasłem użytkownika. Z powodu obcinania wejścia bcrypt do 72 bajtów, weryfikacja hasła może zakończyć się sukcesem nawet przy błędnym haśle.

FreshRSS to darmowy agregator RSS, który można hostować samodzielnie. W wersjach przed 1.28.0 występował błąd w logice uwierzytelniania związany z tokenami autoryzacyjnymi, co pozwalało na obejście ograniczeń dostępu do kanałów RSS innych użytkowników.

W urządzeniu Tenda W15E V02.03.01.26_cn występuje podatność związana z nieprawidłową kontrolą dostępu. Nieautoryzowany atakujący może uzyskać dostęp do punktu końcowego /cgi-bin/DownloadCfg/RouterCfm.jpg, co pozwala na pobranie pliku konfiguracyjnego zawierającego hasła administratora w postaci niezaszyfrowanej.

Keygraph Shannon zawiera zakodowany na stałe klucz API w konfiguracji routera. Gdy komponent routera jest włączony i wystawiony na zewnątrz, atakujący sieciowi mogą uwierzytelnić się przy użyciu publicznie znanego statycznego klucza. Osoba atakująca, która ma dostęp do portu routera, może proxy żądania przez instancję Shannon, używając skonfigurowanych poświadczeń API dostawcy ofiary, co prowadzi do nieautoryzowanego użycia API i potencjalnego ujawnienia danych żądań i odpowiedzi.

W linagora Twake v2023.Q1.1223 odkryto problem związany z CWE-79: Niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującym wykonanie dowolnego kodu.

W wersji 1.17.0 biblioteki mscdex ssh2 odkryto problem związany z CWE-1333: Nieskuteczna złożoność wyrażeń regularnych.

Zidentyfikowano podatność na wstrzykiwanie poleceń w module sieciowym routera Archer AXE75 w wersjach 1.6 i 1.0. Uwierzytelniony atakujący z dostępem do sąsiedniej sieci może zdalnie wykonać kod, uzyskując uprawnienia na poziomie root.