Katalog podatności CVE

ArcadeDB w wersjach przed 26.9.1 nie waliduje adresów przejściowych IPv6 w zabezpieczeniu SSRF używanym przez IMPORT DATABASE i polecenia serwera. Uwierzytelnieni atakujący mogą dostarczyć adresy URL rozwiązujące się do adresów NAT64, 6to4 lub Teredo zawierających wewnętrzne adresy IPv4 (RFC 1918 lub loopback), aby uzyskać dostęp do usług wewnętrznych i punktów końcowych metadanych chmury.

Podatność w ArcadeDB przed wersją 26.9.1 pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na obejście kontroli dostępu ACL na poziomie typów wierzchołków i krawędzi. Dzieje się to przez wysłanie żądania wsadowego do punktu końcowego POST /api/v1/batch/{database} z domyślnym równoległym przetwarzaniem, które nie wiąże tożsamości użytkownika z wątkami roboczymi. W efekcie użytkownik może zapisywać krawędzie do chronionych wierzchołków, modyfikując dane grafu bez autoryzacji.

Podatność w ArcadeDB przed wersją 26.9.1 dotyczy narzędzia query_database udostępnianego w interfejsie czatu AI. Narzędzie wykonuje zapytania bez powiązania uwierzytelnionego użytkownika z kontekstem bazy danych, co zamyka kontrolę dostępu na poziomie typów i zasobników. Uwierzytelnieni użytkownicy mogą odczytywać dane, do których dostęp jest jawnie zabroniony na poziomie typów.

ArcadeDB (com.arcadedb:arcadedb-engine) do 26.8.1 egzekwuje reguły kontroli dostępu per typ/rekord tylko w LocalBucket, opierając się na identyfikatorze pliku. Ścieżki wykonywania zapytań, które docierają do danych przez pliki indeksu LSM lub silnik TimeSeries, nie wywołują tego sprawdzenia, więc uwierzytelniony użytkownik bez uprawnień readRecord/deleteRecord może odczytać wartości kluczy indeksu, identyfikatory rekordów, wartości MAX/MIN, próbki TimeSeries, poznać liczbę rekordów i usuwać wpisy indeksu, co desynchronizuje indeks z danymi. Nazwy indeksów i typów są odkrywalne przez SELECT FROM schema:indexes. Problem dotyczy wdrożeń embedded i serwerowych oraz wszystkich transportów. Naprawiono w 26.9.1.

ArcadeDB przed 26.9.1 nie egzekwuje wpisów ACL dla typów TimeSeries, ponieważ resolver ACL buduje uprawnienia na podstawie identyfikatorów bucketów, a typy TimeSeries nie posiadają normalnych bucketów rekordów. Uwierzytelniony użytkownik o niskich uprawnieniach może czytać lub wstawiać próbki TimeSeries pomimo jawnych reguł odmowy, wykorzystując brak sprawdzania dostępu opartego na nazwie typu, co powoduje, że wyszukiwanie uprawnień kończy się niepowodzeniem otwartym.

vLLM w wersjach przed 0.28.0 nie waliduje dolnej granicy identyfikatorów tokenów w endpointach /v1/embeddings i /pooling, co pozwala nieuwierzytelnionym atakującym na zawieszenie silnika poprzez przesłanie ujemnych identyfikatorów tokenów. Pojedyncze żądanie z ujemnym identyfikatorem tokenu wywołuje asercję po stronie urządzenia CUDA, która zatruwa kontekst GPU, powodując awarię wszystkich kolejnych żądań aż do restartu procesu.

SiYuan w wersjach przed 3.8.3 zawiera podatność na wstrzyknięcie SQL w funkcji query2Stmt w graph.go, gdzie wartości tagów są konkatenowane bezpośrednio do literałów SQL bez escapowania pojedynczych cudzysłowów. Czytelnik w trybie publikacji lub anonimowy odwiedzający może wstrzyknąć SQL poprzez inline HTML span tags w endpoincie getGraph, aby wykonać dowolne zapytania na bazie danych z prawem zapisu i wyeksfiltrować prywatne dane z notesów.

ImageMagick w wersjach przed 7.1.2-31 zawiera podatność polegającą na obejściu polityk w enkoderze UHDR, który nie wykonuje kontroli polityk podczas alokacji bufora dla pikseli obrazu. Atakujący może obejść polityki zasobów, przetwarzając specjalnie spreparowane obrazy UHDR, co może prowadzić do odmowy usługi poprzez nadmierną alokację pamięci.

ImageMagick w wersjach przed 7.1.2-31 oraz 6.9.13-56 zawiera błąd dzielenia przez zero w enkoderze FLIF. Nieprawidłowa wartość ticks per second w kodowanym obrazie powoduje dzielenie przez zero i awarię enkodera, prowadząc do odmowy usługi.

ImageMagick w wersjach przed 7.1.2-31 i przed 6.9.13-56 zawiera błąd dereferencji wskaźnika NULL w koderze PNM. Gdy koder osiąga limit pamięci (zasobów) w określonym momencie przetwarzania, nieudana alokacja nie jest obsługiwana i następuje dereferencja wskaźnika NULL, co może prowadzić do odmowy usługi (awarii aplikacji) podczas przetwarzania specjalnie spreparowanego lub wystarczająco dużego obrazu PNM.

ImageMagick w wersjach przed 7.1.2-31 i przed 6.9.13-56 zawiera obejście polityki w koderze PCD (oraz, zgodnie z advisory upstream, CUBE i HALD): gdy podana jest określona opcja wiersza poleceń, dekoder nie sprawdza skonfigurowanego limitu zasobów, co może skutkować dodatkową alokacją pamięci. Lokalny użytkownik mogący przekazać opcje wiersza poleceń do ImageMagick może zatem przekroczyć zamierzony limit polityki pamięci, powodując ograniczony wpływ na dostępność.

ImageMagick w wersjach przed 7.1.2-31 i przed 6.9.13-56 zawiera podatność use-after-free w metodzie ImagesToBlob, spowodowaną nieprawidłowo aktualizowanym wskaźnikiem. Wykorzystanie może skutkować ograniczonym wpływem na dostępność (np. awarią dotkniętego procesu).

Wada w kodeku STOMP biblioteki Netty. Zdalny atakujący może wysłać specjalnie spreparowaną ramkę STOMP z nagłówkiem content-length przekraczającym maksymalną wartość całkowitą. Ta podatność na obcięcie liczby całkowitej może prowadzić do nieskończonej pętli dekodowania.

Podatność w SveltyCMS 0.0.6 dotyczy punktu końcowego aktualizacji atrybutów użytkownika. Brak odpowiednich kontroli dostępu pozwala zdalnemu atakującemu na nieautoryzowaną zmianę atrybutów użytkownika. Poprawka znajduje się w commit o identyfikatorze 05b4f9efeb79e9d72a693232334d7529687f896f.

Wersje Imager dla Perla przed 1.036 kończą proces podczas odczytu pliku TGA z długością mapy kolorów wynoszącą 32768 lub więcej w funkcji tga_palette_read. Długość jest rozpakowywana do typu signed short, przez co wartość 32768 lub większa staje się ujemna, a następnie rzutowana na size_t, co powoduje żądanie alokacji o rozmiarze bliskim SIZE_MAX. Alokacja kończy się niepowodzeniem, a alokator Imager wywołuje exit(3).

Wersje Imager dla Perla przed 1.036 ujawniają niezainicjalizowaną pamięć sterty podczas odczytu obrazu paletowego z indeksami pikseli wykraczającymi poza mapę kolorów w funkcjach i_gpix_p i i_glin_p. Paleta jest alokowana bez inicjalizacji, a czytnik TGA zapisuje indeksy pikseli bez sprawdzania ich względem mapy kolorów, co pozwala odczytać lub wyświetlić zawartość wcześniejszej pamięci sterty.

NUUO Network Video Recorder 2.0.0 jest podatny na dowolne odczytywanie plików. W pliku up.php parametr url przesłany przez użytkownika metodą POST jest odbierany, a następnie fopen() otwiera ten URL w trybie binarnym tylko do odczytu, a zawartość jest zapisywana w katalogu /tmp/ pod nazwą pochodzącą z basename() tego URL. Operacja nie wymaga uwierzytelnienia.

NUUO Network Video Recorder 2.0.0 jest podatny na wstrzyknięcie poleceń w pliku handle_import_privilege.php.

Podatność XSS w Moonshot AI Kimi pozwala zdalnemu atakującemu wykonać dowolny kod poprzez podgląd artefaktu HTML w widoku udostępniania. Wersja z dnia 2026-07-18 jest podatna.

Podatność w OpenCVE przed wersją 3.0.0 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do konfiguracji kanałów powiadomień na wysyłanie żądań do dowolnych hostów, w tym zasobów wewnętrznych, localhost, link-local i metadanych cloud. Testowanie powiadomień Webhook i Slack nie waliduje wystarczająco adresów docelowych, co może prowadzić do ujawnienia informacji.