Katalog podatności CVE

Logowanie przez OAuth2 może reaktywować konto dezaktywowane przez administratora, jeśli źródło autoryzacji nie używa tokenów odświeżania (niepełna poprawka #38009).

CVE-2026-55402 to podatność odczytu poza zakresem w serwerach Secure Access przed wersją 14.57. Atakujący znajdujący się w pozycji 'man-in-the-middle' mogą wysyłać specjalnie spreparowane dane do serwera, powodując trwałą odmowę usługi.

Wewnętrzny klient API ma na stałe ustawione InsecureSkipVerify:true, co wyłącza weryfikację certyfikatów TLS, bez możliwości zmiany tej konfiguracji. To narusza zasadę CWE-295 (niewłaściwa weryfikacja certyfikatu).

Tokeny przeznaczone wyłącznie do dostępu publicznego mogą ominąć ograniczenia dotyczące zasobów prywatnych na trasach `/api/v1/user` (self routes).

Podatność w module Data::MuForm::Localizer dla Perla (do wersji 0.05) pozwala na wykonanie dowolnego kodu poprzez specjalnie spreparowany nagłówek katalogu komunikatów. Funkcja load_lexicon nie sprawdza poprawności atrybutu języka, co umożliwia wczytanie dowolnego pliku .po z systemu, a następnie wykonanie kodu z nagłówka Plural-Forms.

System CMS zawiera podatność SQL injection w pliku admin/db_data.php w linii 509, która pozwala uwierzytelnionym administratorom na wstrzykiwanie dowolnego SQL do instrukcji SHOW COLUMNS FROM poprzez podanie nieoczyszczonych danych wejściowych przez parametr table_name GET lub POST. Atakujący mogą stosować techniki traversal tabel, ślepe oparte na czasie, ślepe oparte na boolean i oparte na błędach, aby wyliczyć pełny schemat bazy danych, uzyskać dostęp do tabel systemowych, takich jak information_schema, i połączyć ujawnienie z wtórnymi punktami wstrzykiwań w celu wydobycia danych uwierzytelniających.

PostGIS przed wersją 3.7.0beta2 zawiera podatność odczytu poza zakresem, która pozwala atakującym na ujawnienie pamięci lub awarię serwera poprzez dostarczenie nieprawidłowego bufora FlatGeobuf. Dekoder metadanych właściwości FlatGeobuf weryfikuje obecność pola długości stringa, ale nie sprawdza, czy treść stringa znajduje się w dostarczonym buforze przed zmaterializowaniem go do wartości widocznej w SQL, co umożliwia ujawnienie pamięci lub odmowę usługi.

Rozszerzenie address_standardizer dla PostGIS do wersji 3.7.0, naprawione w commicie 423570b, zawiera podatność zapisu poza zakresem, która pozwala użytkownikowi bazy danych, mającemu możliwość dostarczania nazw relacji kontrolowanych przez wywołującego do standardize_address(), na wywołanie uszkodzenia pamięci poprzez podanie tabeli reguł z wartością Type klasyfikacji przekraczającą ustalony zakres klas. Atakujący mogą stworzyć złośliwy wpis tabeli reguł z nadmierną wartością typu reguły, która jest używana bez sprawdzania granic jako indeks do wewnętrznej tabeli linków wyjściowych, co skutkuje zapisem poza zakresem.

Podatność znaleziona w SourceCodester Simple Student Information System. Dotyczy nieznanej funkcjonalności pliku app/admin/departments/view_department.php. Manipulacja argumentem ID powoduje SQL injection. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.

OpenList, program do listowania plików obsługujący wiele magazynów, przed wersją 4.2.4, w uwierzytelnionym handlerze /api/fs/batch_rename w server/handles/fsbatch.go autoryzuje tylko katalog źródłowy utworzony przez user.JoinPath(req.SrcDir) i waliduje renameObject.NewName za pomocą checkRelativePath, ale nie waliduje kontrolowanego przez atakującego renameObject.SrcName, dostarczanego jako src_name, przed połączeniem go z autoryzowaną ścieżką i przekazaniem wyniku do fs.Rename. Użytkownik z uprawnieniami do zmiany nazw może użyć segmentów traversal w src_name, aby normalizacja ścieżki wybrała plik poza autoryzowanym katalogiem i skonfigurowaną ścieżką bazową, co skutkuje utratą integralności plików między użytkownikami, ograniczonym wpływem na dostępność i ujawnieniem istnienia plików poprzez odpowiedzi sukcesu lub błędu. Problem naprawiono w wersji 4.2.4.

Netty przed wersjami 4.1.136.Final i 4.2.16.Final zawiera podatność w XmlFrameDecoder.decode(), która nie zachowuje stanu parsera dla znaczników zamykających między wywołaniami. Zdalny, nieuwierzytelniony atakujący może wysyłać powtarzające się sekwencje </, powodując wielokrotne skanowanie bufora i wyczerpanie CPU wątku EventLoop, co prowadzi do odmowy usługi przy maxFrameLength 1 MB.

Oh My Posh przed wersją 29.35.1 zawiera podatność w funkcji setStyle() w src/segments/path.go, która przekazuje pt.Path (zawierający surowe nazwy folderów) do template.Render, którego mapa funkcji udostępnia cmd. Atakujący kontrolujący nazwę katalogu z wyrażeniem szablonu Go może wykonać dowolne polecenia systemu operacyjnego jako bieżący użytkownik, gdy prompt renderuje się w tym katalogu lub podkatalogu.

rsync daemon w wersjach od 2.0.0 do przed 3.5.0 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym wyczerpać sloty połączeń demona poprzez wstrzymanie procesu uzgadniania przed lub po wyborze modułu, bez wyzwalania limitu czasu I/O. Atakujący mogą otworzyć wiele równoczesnych połączeń i przesyłać dane w minimalnym tempie, aby uniknąć limitu czasu, lub całkowicie zatrzymać się przed wyborem modułu, gdzie limit czasu nie obowiązuje, konsumując wszystkie dostępne sloty połączeń i blokując dostęp legalnym klientom.

rsync w wersjach od 3.1.0 do przed 3.5.0 zawiera podatność na obejście autoryzacji w parsowaniu dyrektywy auth users. Parser auth users używa tylko przecinków do tokenizacji listy użytkowników, co niepoprawnie obsługuje wpisy w formie @Group Name, gdzie nazwa grupy zawiera spację. Spacja w nazwie grupy powoduje podział wpisu na granicy spacji, odrzucając regułę odmowy związaną z grupą. Uwierzytelniony użytkownik, którego nazwa użytkownika lub członkostwo w grupie byłoby odrzucone przez wpis @Group Name, może połączyć się z ograniczonym modułem, ponieważ reguła odmowy jest cicho odrzucana podczas parsowania.

rsync w wersjach od 3.2.5 do przed 3.5.0 zawiera podatność na zapis poza granicami sterty (heap out-of-bounds write), która pozwala zdalnym nieuwierzytelnionym atakującym zapisać jeden bajt kontrolowany przez atakującego poza końcem alokacji sterty, dostarczając spreparowany wpis files-from. Atakujący mogą wywołać podatność przeciwko modułowi demona rsync w trybie tylko do odczytu, dostarczając wpis files-from zawierający zarówno wewnętrzny, jak i końcowy backslash, powodując, że funkcja add_implied_include() nieprawidłowo zlicza końcowy backslash podczas określania rozmiaru bufora docelowego.

rsync w wersjach od 2.3.3 do przed 3.5.0 zawiera podatność na przechodzenie poza katalog (path traversal), która pozwala złośliwemu nadawcy uciec z katalogu głównego modułu, wykorzystując dowiązania symboliczne w drzewie plików modułu, gdy używane są opcje --partial-dir lub --backup-dir. Atakujący z prawem zapisu mogą umieścić dowiązanie symboliczne pod katalogiem głównym modułu lub wykorzystać istniejące zaufane dowiązanie, aby skierować zapisy plików do lokalizacji poza zamierzonym katalogiem głównym modułu, osiągając dowolny zapis pliku względem rodzica katalogu głównego modułu.

rsync w wersjach od 3.0.0 do przed 3.5.0 zawiera podatność na zapis poza granicami (out-of-bounds write), która pozwala atakującym uszkodzić pamięć, wyzwalając przetwarzanie HLINK_BUMP na wpisach plików z ustawioną flagą FLAG_HLINKED, gdy opcja zachowywania dowiązań twardych jest nieaktywna. Atakujący mogą wykorzystać brakujące pole F_SUM w strukturze file_struct, aby uzyskać dostęp do pamięci poza końcem przydzielonej struktury, uszkadzając sąsiednie dane na stercie lub stosie.

rsync w wersjach od 3.0.1 do przed 3.5.0 zawiera podatność na zapis poza granicami (out-of-bounds write) w funkcji read_args(), która pozwala złośliwemu nadawcy uszkodzić sąsiednią pamięć sterty, wysyłając spreparowaną listę argumentów. Gdy liczba argumentów powoduje, że alokacja argv jest dokładnie pełna, końcowy terminator NULL jest zapisywany o jeden slot poza granicę alokacji, uszkadzając sąsiednią pamięć sterty.

rsync w wersjach od 3.4.2 do przed 3.5.0 zawiera podatność na odmowę usługi, która pozwala zdalnemu nadawcy wyczerpać zasoby systemowe, podając krótki alias --zt dla --compress-threads, co omija dopasowywanie ciągów w dyrektywie refuse options dla długich nazw opcji. Atakujący mogą podać --zt=N z dużą wartością, aby utworzyć nieograniczoną liczbę wątków roboczych Zstandard na odbiorcy, wyczerpując dostępne zasoby wątków i pamięci.