Katalog podatności CVE

Podatność w kliencie RustDesk powoduje przesyłanie hasła do książki adresowej w postaci jawnej w treści żądania synchronizacji pulsu. Mimo że transmisja przez HTTPS jest szyfrowana, hasło jest współdzielonym sekretem, który może zostać przechwycony przez atakującego przejmującego serwer API.

Podatność w kliencie RustDesk (rustdesk-client) umożliwia przesyłanie wrażliwych informacji w postaci niezaszyfrowanej, co może prowadzić do ataków typu sniffing. Dotyczy to modułów pętli synchronizacji Heartbeat na systemach Windows, MacOS, Linux, iOS i Android.

Podatność w kliencie RustDesk umożliwia manipulację wiadomościami API aplikacji poprzez atak typu Man-in-the-Middle. Dotyczy to różnych platform, w tym Windows, MacOS, Linux, iOS, Android oraz WebClient.

Biblioteka xgrammar przed wersją 0.1.32 zawiera podatność powodującą błąd segmentacji (segmentation fault) przy przetwarzaniu wielopoziomowej zagnieżdżonej składni. Problem został naprawiony w wersji 0.1.32.

Podatność CVE-2026-3598 dotyczy użycia uszkodzonego lub ryzykownego algorytmu kryptograficznego w rustdesk-server-pro, co pozwala na odzyskanie wbudowanych danych wrażliwych. Problem ten występuje w modułach generowania ciągów konfiguracyjnych oraz eksportu konsoli webowej.

Podatność związana z użyciem uszkodzonego lub ryzykownego algorytmu kryptograficznego w kliencie RustDesk umożliwia odzyskanie wbudowanych danych wrażliwych. Dotyczy to plików programowych oraz określonych rutyn w kodzie źródłowym.

Avira Internet Security zawiera podatność typu time-of-check time-of-use (TOCTOU) w komponencie Optymalizator. Usługa z uprawnieniami SYSTEM identyfikuje katalogi do usunięcia podczas fazy skanowania, a następnie usuwa je w osobnej fazie czyszczenia bez ponownej walidacji ścieżki docelowej.

Avira Internet Security zawiera podatność na deserializację niezaufanych danych w komponencie System Speedup. Proces Avira.SystemSpeedup.RealTimeOptimizer.exe, działający z uprawnieniami SYSTEM, deserializuje dane z pliku znajdującego się w C:\ProgramData bez implementacji walidacji wejścia lub zabezpieczeń deserializacji.

Avira Internet Security zawiera podatność na niewłaściwe rozwiązywanie linków w komponencie Aktualizatora Oprogramowania. Podczas procesu aktualizacji, uprzywilejowana usługa działająca jako SYSTEM usuwa plik z C:\ProgramData, nie weryfikując, czy ścieżka prowadzi przez link symboliczny lub punkt ponownego analizowania.

Python-Markdown w wersji 3.8 zawiera podatność, w której nieprawidłowo sformatowane sekwencje przypominające HTML powodują nieobsłużony błąd AssertionError w html.parser.HTMLParser podczas parsowania Markdown. Ponieważ Python-Markdown nie przechwytuje tego wyjątku, każda aplikacja przetwarzająca Markdown kontrolowany przez atakującego może ulec awarii.

Wtyczka WowOptin: Next-Gen Popup Maker dla WordPressa jest podatna na nieautoryzowaną instalację dowolnych wtyczek z powodu braku sprawdzenia uprawnień w funkcji 'install_and_active_plugin' we wszystkich wersjach do 1.4.24 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej instalację i aktywację dowolnych wtyczek.

W Eclipse Jetty w wersjach 12.0.0-12.0.31 i 12.1.0-12.0.5, klasa GzipHandler zawiera podatność na wyciek pamięci. Gdy przetwarzane jest skompresowane żądanie HTTP z nagłówkiem Content-Encoding: gzip, a odpowiedź nie jest kompresowana, mechanizm zwalniania obiektu Inflater JDK nie zostaje uruchomiony, co prowadzi do wycieku zasobów.

Podatność związana z niewłaściwą weryfikacją w aplikacji e-mail. Jej wykorzystanie może wpłynąć na poufność usług.

Podatność na obejście uprawnień w ramach systemu usług. Skuteczne wykorzystanie tej podatności może wpłynąć na dostępność systemu.

Wtyczka Membership Plugin – Restrict Content dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 3.2.20 włącznie. Problem wynika z funkcji `rcp_setup_registration_init()`, która akceptuje dowolny identyfikator poziomu członkostwa bez weryfikacji, czy poziom jest aktywny lub czy wymagana jest płatność.

Podatność związana z niewłaściwą kontrolą dostępu w jądrze SUSE Linux Enterprise Server 12 SP5 powoduje, że reguły zapory stosowane za pomocą nftables nie są skuteczne. Problem ten dotyczy wersji SUSE Linux Enterprise Server od 9e6d9d4601768c75fdb0bad3fbbe636e748939c2 do przed 9c294edb7085fb91650bc12233495a8974c5ff2d.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 0.7.2 do 6.19.0, specjalnie przygotowane złośliwe motywy mogą wykonywać dowolny kod na serwerze uruchamiającym Ghost. Problem został naprawiony w wersji 6.19.1.

W podatności CVE-2026-28137 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie MediCenter - Health Medical Clinic, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji od n/a do 14.9 włącznie.

Podatność w WP Royal Royal Elementor Addons (wersje do 1.7.1052) pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Może to prowadzić do nieautoryzowanego dostępu do wrażliwych funkcji.

Podatność typu 'Code Injection' w Crocoblock JetEngine umożliwia zdalne włączenie kodu. Problem dotyczy wersji JetEngine od n/a do 3.7.2 włącznie.