Katalog podatności CVE

AVideo przed wersją 29.0 zawiera niekompletną poprawkę dla CVE-2026-45578. Funkcja execAsync() ponownie opakowuje uciekające komendy w podwójnie cudzysłowowe sh -c, co umożliwia podstawianie komend przez $() i backticks. Atakujący mogą wstrzykiwać dowolne komendy OS przez endpoint on_publish.php wtyczki Live, pomimo ochrony escapeshellarg().

W produktach SJCAM AllWinner Tech (SJ4000-Air V1.4C i starsze oraz wersje WhiteLabel) wykryto podatność umożliwiającą wykonanie dowolnego kodu poprzez spreparowany plik FEX.

W oprogramowaniu sprzętowym Tenda TX9 w wersji V22.03.02.20 wykryto podatność na przepełnienie stosu w funkcji sub_425964 pliku /goform/SetOnlineDevName. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu.

W oprogramowaniu sprzętowym Tenda TX9 w wersji V22.03.02.20 wykryto podatność na przepełnienie stosu w funkcji sub_424CE0 pliku /goform/setMacFilterCfg. Atakujący może wykorzystać tę lukę do zdalnego wykonania kodu lub spowodowania awarii urządzenia.

W oprogramowaniu sprzętowym Tenda TX9 w wersji V22.03.02.20 wykryto podatność na przepełnienie stosu w funkcji sub_42EEE0 w pliku /goform/SetStaticRouteCfg. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu lub spowodowania awarii urządzenia.

W FreeScout przed wersją 1.8.224 publiczny endpoint `POST /user-setup/{hash}/{invite_sent_at}` pozwala atakującemu na przejęcie konta użytkownika bez uwierzytelnienia. Podatność wynika z pomijania spacji w VARCHAR w MySQL/MariaDB oraz z nieprawidłowego deszyfrowania parametru `invite_sent_at`.

W oprogramowaniu sprzętowym Tenda TX9 w wersji V22.03.02.20 wykryto podatność na przepełnienie stosu w funkcji sub_42EA38 pliku /goform/SetVirtualServerCfg. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu lub spowodowania odmowy usługi.

W oprogramowaniu sprzętowym Tenda TX9 w wersji V22.03.02.05 wykryto podatność na przepełnienie stosu w funkcji sub_4418CC pliku /goform/SetNetControlList. Atakujący może wykorzystać tę lukę do zdalnego wykonania kodu lub spowodowania awarii urządzenia.

ktransformers do wersji 0.6.3 włącznie (poprawione w commicie def0f93) zawiera nieuwierzytelnioną podatność na deserializację pickle, która umożliwia zdalnym atakującym wykonanie dowolnych poleceń poprzez wysłanie spreparowanych ładunków pickle do gniazda ZMQ ROUTER SchedulerServer, które jest związane ze wszystkimi interfejsami sieciowymi. Atakujący mogą wykorzystać złośliwe metody __reduce__ osadzone w spreparowanych ładunkach pickle do wykonania dowolnych poleceń powłoki jako proces serwera.

GPT-SoVITS do wersji 20250606v2pro zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku webui.py, gdzie funkcje ASR, slice, denoise i uvr5 interpolują niesanityzowane wartości pól tekstowych Gradio bezpośrednio do poleceń powłoki wykonywanych z shell=True. Atakujący mogą wstrzyknąć metaznaki powłoki przez parametry ścieżki, aby wykonać dowolne polecenia systemowe jako użytkownik procesu serwera bez uwierzytelniania.

Podatność w RT (Request Tracker) przed wersjami 5.0.10 i 6.0.3 w REST 2.0 API pozwala uprzywilejowanemu (nieadministracyjnemu) użytkownikowi na uzyskanie poświadczeń innych użytkowników, w tym administratorów, oraz ich użycie do odczytu danych przez feedy. Żądanie obraca poświadczenia, unieważniając istniejące feed URL.

Podatność w dotCMS (wersje 21.02 do 26.06.22-03) w endpointach ToolGroupResource i RoleAjax REST/DWR. Uwierzytelniony użytkownik backendu o niskich uprawnieniach może samodzielnie przypisać sobie rolę administratora CMS i uzyskać zdalne wykonanie kodu przez przesłanie spreparowanego pakietu OSGi.

Podatność w bibliotece Net::DNS dla Perla (wersje do 1.55) umożliwia zdalne wykonanie kodu poprzez specjalnie spreparowany rekord EDNS EXTENDED ERROR. Funkcja _decompose nieprawidłowo obsługuje znaki backtick (`), co pozwala na wstrzyknięcie komend systemowych.

Rozszerzenie Joomla Page Builder CK w wersji poniżej 3.6.2 nieprawidłowo stosuje kontrolę dostępu do widoków list stron w interfejsie frontendowym. Uwierzytelniony użytkownik może uzyskać nieautoryzowany dostęp do list stron.

Rozszerzenie Joomla JDownloads w wersji poniżej 4.1.6 zawiera podatność na nieuwierzytelnione przesyłanie plików. Umożliwia to zdalnemu atakującemu przesłanie dowolnego pliku bez logowania, co prowadzi do pełnego zdalnego wykonania kodu (RCE).

Rozszerzenie Joomla Gridbox w wersji poniżej 1.6.0 zawiera podatność umożliwiającą ominięcie uwierzytelniania. Atakujący może uzyskać pełny dostęp administracyjny bez podania prawidłowych poświadczeń.

Rozszerzenie Joomla DJ-Classifieds w wersji poniżej 3.11.2 jest podatne na nieuwierzytelnione przesyłanie plików. Atakujący bez logowania może przesłać dowolny plik, co prowadzi do pełnego zdalnego wykonania kodu (RCE).

Rozszerzenie Joomla JMedia w wersji poniżej 1.6.0 jest podatne na trwałe XSS (stored cross-site scripting). Niezabezpieczone przesyłanie plików SVG oraz brak nagłówka nosniff umożliwiają atakującemu wstrzyknięcie złośliwego skryptu, który wykonuje się w przeglądarkach innych użytkowników.

Rozszerzenie Joomla JMedia w wersji poniżej 1.6.0 jest podatne na uwierzytelnione przesyłanie dowolnych plików. Uwierzytelniony atakujący może przesyłać pliki wykonywalne (w tym z poliglotycznymi nazwami), a funkcja chmod nie usuwa bitów wykonania, co prowadzi do zdalnego wykonania kodu (RCE).

Chamilo LMS w wersjach 1.11.38 i wcześniejszych zawiera podatność przechowywanego skryptowania między witrynami w formularzu rejestracji użytkownika. Nieuwierzytelniony atakujący może wykonać dowolny JavaScript w sesji administratora, prowadząc do pełnego przejęcia konta administratora platformy.