Katalog podatności CVE

Parse Server, otwarte źródło backendu, przed wersjami 9.5.0-alpha.14 i 8.6.11, pozwalał złośliwym klientom na subskrypcję LiveQuery z wykorzystaniem spreparowanego wzorca $regex, co prowadziło do katastrofalnego cofania, blokując pętlę zdarzeń Node.js. To powodowało, że cały serwer Parse stawał się nieodpowiedzialny, wpływając na wszystkich klientów.

OneUptime to rozwiązanie do monitorowania i zarządzania usługami online. W wersjach przed 10.0.19 aplikacja GitHub OneUptime nie weryfikowała poprawności wartości state i installation_id, co pozwalało atakującemu na nadpisanie powiązania instalacji aplikacji GitHub innego projektu.

facileManager to modułowy zestaw aplikacji webowych zaprojektowanych z myślą o administratorach systemów. Przed wersją 6.0.4 występowała podatność na przechowywane XSS (persistent XSS), która miała miejsce, gdy aplikacja otrzymywała dane z nieufnego źródła i włączała te dane w odpowiedziach HTTP w niebezpieczny sposób. Ta podatność została zidentyfikowana w module fmDNS.

W wersjach przed 6.0.4 w aplikacji facileManager występuje podatność na refleksyjny atak XSS, gdy aplikacja przetwarza dane z nieznanego źródła w odpowiedziach HTTP. Możliwe jest wstrzyknięcie złośliwego kodu JavaScript do URL-a poprzez dodanie skryptu w parametrze log_search_query.

Rozszerzenie Bucket dla MediaWiki przed wersją 2.1.1 zawiera podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy skrypt do dowolnego pola tabeli Bucket typu PAGE, który wykona się przy przeglądaniu strony przestrzeni nazw Bucket.

Podatność CVE-2026-2364 dotyczy systemu CODESYS, w którym atakujący o niskich uprawnieniach lokalnych może uzyskać podwyższone uprawnienia. Dzieje się to w wyniku luki TOCTOU, gdy użytkownik zatwierdzi prośbę o samodzielną aktualizację lub zainicjuje instalację systemu CODESYS Development.

Pocket ID to dostawca OIDC, który umożliwia użytkownikom uwierzytelnianie za pomocą kluczy dostępu. Przed wersją 2.4.0, punkt końcowy tokenów OIDC odrzucał kod autoryzacyjny tylko wtedy, gdy zarówno identyfikator klienta był błędny, jak i kod był przestarzały, co umożliwiało wymianę kodów między klientami oraz ponowne wykorzystanie przestarzałych kodów.

Pocket ID, jako dostawca OIDC, miał lukę w walidacji URL zwrotnego, która pozwalała na obejście sprawdzania wzorców zwrotnych przy użyciu zmanipulowanych wartości redirect_uri zawierających znak '@'. Wersje od 2.0.0 do przed 2.4.0 są podatne na tę lukę.

InstantCMS to darmowy i otwarty system zarządzania treścią. W wersjach przed 2.18.1 nie weryfikowano tokenów CSRF, co pozwalało atakującym na przyznawanie uprawnień moderatora użytkownikom, wykonywanie zaplanowanych zadań, przenoszenie postów do kosza oraz akceptowanie zaproszeń do znajomych w imieniu użytkownika.

Podatność CVE-2026-27689 dotyczy niekontrolowanego zużycia zasobów, co prowadzi do ataku typu Denial of Service. Uwierzytelniony atakujący z uprawnieniami zwykłego użytkownika może wielokrotnie wywoływać zdalnie włączony moduł funkcji z nadmiernie dużym parametrem kontrolującym pętlę, co prowadzi do długotrwałego wykonywania pętli i nadmiernego zużycia zasobów systemowych.

ImageMagick to darmowe oprogramowanie do edycji i manipulacji obrazami cyfrowymi. W wersjach przed 7.1.2-16 i 6.9.13-41, funkcja MagnifyImage używała bufora stosu o stałej wielkości, co mogło prowadzić do przepełnienia bufora i uszkodzenia stosu przy użyciu określonego obrazu.

SiYuan to system zarządzania wiedzą osobistą. Przed wersją 3.5.10 występuje podatność na eskalację uprawnień w usłudze publikacji, która pozwala kontom o niskich uprawnieniach (RoleReader) na modyfikację treści notatników za pomocą punktu końcowego /api/block/appendHeadingChildren.

W ImageMagick przed wersjami 7.1.2-16 i 6.9.13-41 występuje przepełnienie liczby całkowitej w koderze DIB, które może prowadzić do odczytu lub zapisu poza dozwolonym obszarem pamięci.

W ImageMagick przed wersjami 7.1.2-16 i 6.9.13-41 występuje podatność polegająca na dereferencji niezainicjalizowanego wskaźnika w dekoderze JBIG. Brak odpowiedniego sprawdzenia może prowadzić do nieprzewidzianego zachowania.

W ImageMagick, przed wersjami 7.1.2-16 i 6.9.13-41, występuje przepełnienie bufora stosu w funkcjach parsowania rdzeni morfologicznych. Napastnik może wprowadzić złośliwe ciągi rdzeni, które przekraczają rozmiar bufora, co prowadzi do uszkodzenia stosu.

Misskey to otwartoźródłowa, federacyjna platforma mediów społecznościowych. Wszystkie serwery Misskey przed wersją 2026.3.1 zawierają podatność, która pozwala na ominięcie weryfikacji podpisu HTTP. Ta podatność dotyczy wszystkich serwerów, niezależnie od tego, czy federacja jest włączona, czy wyłączona.

Misskey to otwartoźródłowa, federacyjna platforma mediów społecznościowych. Wszystkie serwery Misskey działające w wersjach od 8.45.0 do przed 2026.3.1 zawierają podatność, która umożliwia nieuprawnionym osobom dostęp do danych, do których normalnie nie miałyby dostępu z powodu niewystarczających kontroli uprawnień i odpowiedniej walidacji danych wejściowych.

W ingress-nginx odkryto problem bezpieczeństwa, w którym adnotacja `nginx.ingress.kubernetes.io/rewrite-target` może być wykorzystana do wstrzykiwania konfiguracji do nginx. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia tajemnic dostępnych dla kontrolera.

W vLLM w wersji 0.17.0 obejście zabezpieczenia SSRF dodanego w CVE-2026-24779 jest możliwe w metodzie load_from_url_async z powodu niespójności w parsowaniu URL-i między warstwą walidacji a rzeczywistym klientem HTTP. Walidacja używa urllib3.util.parse_url(), podczas gdy zapytania HTTP wykonuje aiohttp z biblioteką yarl, co pozwala na ominięcie ochrony.

Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. W wersjach 3.24.0 i wcześniejszych występuje podatność na przesyłanie dowolnych plików, mimo że skonfigurowano ograniczenia dotyczące rozszerzeń plików. Ograniczenia te są egzekwowane tylko na poziomie interfejsu użytkownika.