Katalog podatności CVE

W Netdata przed wersją 2.10.4 uwierzytelniony agent potomny może wysłać zbyt dużą wartość CHART SLOT, która trafia przez str2ull_encoded do pluginsd_rrdset_cache_put_to_slot. Przyjęta wartość powoduje, że reallocz próbuje zaalokować tablicę wskaźników wykresów o rozmiarze około 16 GiB, a niepowodzenie alokacji wywołuje funkcję fatal i przerywa działanie agenta nadrzędnego.

Netdata przed wersją 2.11.0 zawiera podatność w serwerze WebSocket, która pozwala nieuwierzytelnionemu atakującemu na wysyłanie małych, wysoko skompresowanych ramek, prowadząc do dużych alokacji pamięci i wyczerpania zasobów.

Netdata w wersjach od 2.0.0 do 2.10.4 zawiera podatność podczas naprawy MSI, gdzie powershell.exe uruchamiany jako SYSTEM ładuje profil PowerShell z katalogu użytkownika, pozwalając na wykonanie poleceń z uprawnieniami SYSTEM.

Ten wpis CVE został odrzucony. Dalsze badania wykazały, że problem wynika z zależności, a nie z samego oprogramowania.

W Nuclei od wersji 3.0.0 do 3.10.0 ścieżka payloadu DAST/fuzz w pkg/fuzz/parts.go może wielokrotnie ewaluować podstawione dane runtime, co pozwala na drugi przebieg ewaluacji i reinterpretację treści odpowiedzi przechwyconej przez wewnętrzny ekstraktor jako składni szablonu. Przy włączonej opcji -env-vars złośliwy cel skanowania może zwrócić treść, która ujawnia zmienne środowiskowe hosta skanera, takie jak poświadczenia, klucze API lub tokeny.

W Nuclei od wersji 3.0.0 do 3.10.0 ścieżka ładowania szablonów workflow nie egzekwuje bramki uprawnień -file przy rozwiązywaniu szablonów protokołu file: przywoływanych przez workflow. Niezaufany, niepodpisany workflow może załadować szablon file-protocol i odczytać lokalne pliki z hosta skanera, nawet gdy operator nie włączył szablonów plikowych.

W Nuclei od wersji 3.0.0 do 3.10.0 biblioteka JavaScript nuclei/mysql nie egzekwuje lokalnego sandboxa plików, gdy szablon JavaScript podaje opcję allowAllFiles w DSN MySQL. Niezaufany szablon javascript: skanujący kontrolowany przez atakującego endpoint MySQL może spowodować, że serwer wyśle żądania LOAD DATA LOCAL INFILE dla dowolnych ścieżek, a klient MySQL skanera odczyta pliki i zwróci ich zawartość serwerowi, mimo że opcja -allow-local-file-access jest wyłączona.

W Nuclei od wersji 3.0.0 do 3.10.0 gałąź ładowania szablonów DAST nie stosuje sprawdzenia podpisu niepodpisanych szablonów kodu przed przyjęciem szablonu zawierającego zarówno blok fuzzing:, jak i niepodpisany blok code:. Gdy operator włączy opcję -dast, niezaufany szablon wieloprotokołowy może umieścić niepodpisane żądanie kodu w kolejce wykonania i uruchomić dowolne polecenia powłoki, nawet bez opcji -code lub ważnego podpisu kryptograficznego.

W 9Router przed wersją 0.5.6 wdrożenia, które pozwalają żądaniom dotrzeć do Next.js bez sanityzującego wrappera custom-server.js, używają wartości X-9r-Real-Ip dostarczonej przez klienta jako klucza bucketu w getClientIp, checkLock i recordFail w src/lib/auth/loginLimiter.js dla POST /api/auth/login. Zdalny nieuwierzytelniony atakujący może rotować nagłówek przy każdej próbie hasła, przez co każda próba trafia do nowego bucketu i pięciopróbowa blokada progresywna nigdy nie zwraca HTTP 429.

To CVE zostało odrzucone, ponieważ zostało zarezerwowane przez pomyłkę i jest duplikatem CVE-2026-89530.

MISP rejestruje w PHP wrapper strumienia phar zarówno w punkcie wejścia web, jak i konsoli. Powoduje to, że operacje na ścieżkach zależnych od użytkownika mogą wywołać niejawne unserialize() (sink deserializacji), a przeniesiony katalog główny aplikacji może prowadzić do wykonania kodu z przesłanego pliku phar jako użytkownik web.

Literówka w konfiguracji kontroli dostępu ACLComponent w MISP spowodowała, że reguła ACL dla akcji previewEventAttributes odwołuje się do ciągu uprawnień 'theming_enabled*' (z gwiazdką na końcu) zamiast poprawnego 'theming_enabled'. Nieprawidłowy klucz nie pasuje do żadnego prawidłowego identyfikatora uprawnień, co powoduje nieprawidłowe działanie kontroli dostępu dla previewEventAttributes — może to skutkować obejściem autoryzacji lub odmową dostępu dla uprawnionych użytkowników.

Aureus ERP przed wersją 1.5.0 nie ogranicza wyszukiwania wiadomości do bieżącego rekordu w ChatterPanel, umożliwiając uwierzytelnionym użytkownikom dostęp do dowolnych wiadomości. Atakujący mogą podawać kolejne identyfikatory wiadomości, aby czytać, edytować, usuwać lub przypinać wiadomości z innych działów lub firm oraz wyliczać wszystkie notatki w systemie.

Databasement przed wersją 1.7.14 weryfikuje tokeny zaproszeń tylko przy ładowaniu strony akceptacji, buforując decyzję autoryzacyjną bez ponownego sprawdzania ważności tokenu podczas akceptacji. Atakujący z wyciekłym lub przekazanym linkiem zaproszenia może załadować stronę, gdy zaproszenie jest oczekujące, a następnie zaakceptować je po zaakceptowaniu przez prawowitego użytkownika, aby nadpisać hasło konta i uzyskać dostęp do zarządzanych poświadczeń i sekretów bazy danych.

Concrete CMS Community Store przed wersją 2.7.8 generuje tokeny pobierania produktów cyfrowych na podstawie znaczników czasu utworzenia zamówienia zamiast losowych wartości, co czyni je przewidywalnymi. Nieuwierzytelnieni atakujący mogą wyliczać kolejne identyfikatory zamówień i plików, aby obliczyć ważne tokeny pobierania i uzyskać dostęp do dóbr cyfrowych zakupionych przez innych klientów.

W rpcbind wykryto lukę, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu wywołać odmowę usługi (DoS) poprzez wysłanie dużej liczby unikalnych żądań. Usługa rpcbind zapisuje wcześniej niewidziane statystyki RPC w nieograniczonych listach w pamięci, co prowadzi do stałego wzrostu zużycia pamięci i zwiększonego użycia CPU.

Dark Reader przed wersją 4.9.126 (dla Firefoksa) lub 4.9.128 (dla innych przeglądarek) umożliwia stronie internetowej wywołanie żądania do lokalnie uruchomionego serwera przez potok inwersji obrazów, gdy zasób używa znanego publicznego URL HTTPS i wymaga inwersji. Może to naruszyć granicę między stroną a siecią lokalną i ujawnić ograniczone informacje o zasobie.

W SSSD skonfigurowanym z dostawcą dostępu LDAP i ldap_access_order zawierającym ppolicy lub lockout może wystąpić warunek fail-open w sprawdzaniu dostępu LDAP ppolicy, gdy wyszukiwanie użytkownika zwróci zero wyników. Może to nieprawidłowo zwrócić sukces i zapisać decyzję o zezwoleniu w pamięci podręcznej, umożliwiając dalszą autoryzację usuniętego lub wyrejestrowanego użytkownika.

W Traefik od wersji 3.6.11 do 3.7.13 funkcja checkPassword w BasicAuth buduje klucz singleflight na podstawie przesłanego hasła i zapisanego sekretu. Równoległe żądania dla nieistniejących nazw użytkowników łączą się w jeden klucz, podczas gdy skonfigurowane nazwy użytkowników wykonują osobne hashowanie haseł, co tworzy nieuwierzytelnioną różnicę czasową ujawniającą istnienie nazwy użytkownika. Kolejne sprawdzenia pozostają wyrównane kosztowo, Traefik v2 i uwierzytelnianie Digest nie są dotknięte, a problem nie ujawnia poświadczeń ani nie omija uwierzytelniania.

W dynamicznym loaderze (ld.so) biblioteki GNU C Library (glibc) w wersjach od 2.14 do 2.44 występuje warunek wyścigu typu time-of-check to time-of-use (TOCTOU), który pozwala lokalnemu atakującemu na podniesienie uprawnień. Podczas rozwijania $ORIGIN w DT_RPATH dla programów setuid/setgid (AT_SECURE) glibc waliduje znormalizowaną leksykalnie ścieżkę wyszukiwania względem zaufanych katalogów, ale następnie otwiera surową, nieznormalizowaną ścieżkę. W systemach, w których wyłączono sysctl fs.protected_hardlinks, lokalny atakujący, który utworzy twarde dowiązanie do takiego programu w kontrolowanym przez siebie katalogu i wygra wyścig, zastępując pośredni komponent ścieżki dowiązaniem symbolicznym, może skierować loader poza zaufany katalog, powodując załadowanie kontrolowanej przez atakującego biblioteki współdzielonej i wykonanie dowolnego kodu z podniesionymi uprawnieniami programu.