Katalog podatności CVE

Ten identyfikator CVE został odrzucony lub wycofany przez organizację CVE Numbering Authority. Brak dostępnych szczegółów technicznych dotyczących podatności.

Ten identyfikator CVE został odrzucony jako duplikat. Wszyscy użytkownicy powinni zamiast tego odwoływać się do CVE-2026-33626.

W systemie MailData Email Archiving System w wersji 4.2 i wcześniejszych występuje podatność typu SQL injection. Szczegóły techniczne nie zostały podane w opisie.

Cute Editor for ASP.NET 6.4 jest podatny na odbity cross-site scripting (XSS) z powodu niewłaściwej walidacji parametru GET Theme w pliku colorpicker_more.aspx. Zdalny, nieuwierzytelniony atakujący może stworzyć URL, który po otwarciu przez ofiarę w uwierzytelnionej sesji przeglądarki wykona dowolny JavaScript w kontekście bezpieczeństwa tej witryny.

NetworkManager-l2tp do wersji 1.52.4 (poprawione w 1.52.6) zawiera podatność niewłaściwej walidacji danych wejściowych, która pozwala lokalnym użytkownikom z uprawnieniami do tworzenia połączeń VPN wstrzykiwać dowolne dyrektywy pppd poprzez podanie wartości mru lub mtu zawierających końcową treść nieliczbową po prawidłowej liczbie całkowitej. Atakujący może wykorzystać zapis niezwalidowanych ciągów do pliku opcji pppd przez write_config_option() w celu wstrzyknięcia dyrektywy plugin, powodując załadowanie przez uprzywilejowany proces pppd biblioteki współdzielonej kontrolowanej przez atakującego i uzyskanie wykonania dowolnego kodu jako root.

W Dromara mayfly-go do wersji 1.11.5 wykryto podatność w funkcji RunMachineScript w pliku server/internal/machine/api/machine_script.go w komponencie Machine Script Feature. Manipulacja argumentem params prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Wykorzystanie nie wymaga konta administratora — dowolne konto z uprawnieniem machine:script:run i dostępem do tagów może osiągnąć wykonanie dowolnych poleceń na maszynach, których szablony zawierają placeholdery {{.param}}. Problem nie został naprawiony przez dostawcę.

W AWS IoT Device SDK for Python w wersjach 1.5.3 do 1.6.0 na Pythonie 3.7 i nowszym występuje niewłaściwa walidacja certyfikatu z niezgodnością hosta w warstwie połączenia TLS klienta MQTT. Atakujący typu man-in-the-middle może podszyć się pod endpoint AWS IoT Core, odczytać telemetrię i wstrzyknąć fałszywe wiadomości MQTT.

Jeśli tryb logowania jest ustawiony na DEBUG lub używany jest nieprawidłowy ciąg połączenia MongoDB, logi aplikacji mogą gromadzić wrażliwe informacje (jeśli są używane), takie jak hasła i klucze dostępu AWS. Może to prowadzić do nieautoryzowanego dostępu do chronionych zasobów.

Aplikacje zbudowane na MongoDB Entity Framework Core Provider, które umieszczają nazwę bazy danych w ciągu połączenia, mogą nieumyślnie wyłączyć szyfrowanie na poziomie pól. Może to prowadzić do przechowywania chronionych pól w postaci niezaszyfrowanej.

Aplikacje zbudowane na MongoDB Entity Framework Core Provider, które łączą niezależne ustawienia szyfrowania z ustawieniami szyfrowania tego providera, mogą w sposób cichy utracić ustawienia TLS i mapy schematów. Prowadzi to do przechowywania chronionych pól w bazie danych bez szyfrowania.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację CVE Numbering Authority. Brak dostępnych szczegółów technicznych dotyczących podatności.

Biblioteka NetBox Device Type Library zawiera podatność deserializacji w narzędziu testowym, które ładuje pliki pickle kontrolowane przez autora pull requesta. Nieuwierzytelniony współtwórca może dostarczyć spreparowany plik pickle, co prowadzi do wykonania dowolnego kodu podczas uruchamiania testów pytest w GitHub Actions lub w procesie opiekuna projektu.

W Valhalla (silnik routingu dla danych OpenStreetMap) w wersji 3.7.0 i wcześniejszych żądanie POST do /sources_to_targets zawierające exclude_polygons złożone z trzech współliniowych punktów powoduje nieograniczony wzrost zużycia pamięci w workerze. Geometria o zerowym polu powierzchni wywołuje przetwarzanie w src/loki/polygon_search.cc, aż proces zostanie zakończony przez mechanizm OOM killer. Pojedyncze nieuwierzytelnione żądanie może zatrzymać publicznie dostępny worker.

W bibliotece SAIL przed wersją 1.0.0 funkcja sail_codec_load_frame_v8_xbm() w src/sail-codecs/xbm/xbm.c alokuje bufor pikseli według układu X11 (jeden bajt na literał), ale plik X10 static short powoduje, że pętla dekodowania zapisuje dwa kontrolowane bajty na literał. Gdy ceil(width/8) daje nieparzysty stride wiersza, liczba literałów X10 obejmuje bajt paddingu dla każdego wiersza, którego nie ma w buforze docelowym, co prowadzi do przepełnienia sterty w przód skalowanego z wysokością obrazu. Luka jest naprawiona w wersji 1.0.0.

Biblioteka SAIL w wersji 0.9.10 i wcześniejszych zawiera błąd niezgodności trybu i głębi kolorów podczas wczytywania plików PSD w trybie Bitmap. Funkcja psd_private_sail_pixel_format() zwraca format jednobitowy, podczas gdy loader akceptuje głębię 8, co powoduje zapis poza buforem sterty i prowadzi do uszkodzenia pamięci, awarii lub potencjalnego wykonania kodu.

Biblioteka SAIL w wersji 0.9.10 i wcześniejszych zawiera niekompletną poprawkę podatności CVE-2026-40494 w ścieżce TGA_INDEXED_RLE. Bufor obrazu jest alokowany jako jednobajtowy na piksel, ale loader wylicza szerszy rozmiar piksela na podstawie kontrolowanej przez atakującego wartości bpp, co prowadzi do zapisu poza buforem sterty i uszkodzenia pamięci.

Obsidian Web MCP przed wersją 0.2.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu uzyskać kod autoryzacyjny bez logowania i wymienić go na statyczny token VAULT_MCP_TOKEN. Umożliwia to pełny dostęp do operacji na sejfie Obsidian, w tym odczyt, zapis, wyszukiwanie, przenoszenie i usuwanie plików.

W projekcie OmniBlocks workflow GitHub Actions disc.yml uruchamiał się przy zdarzeniach otwarcia i edycji zgłoszenia (issue) i wywoływał mutację createDiscussion dla każdego zgłoszenia zaklasyfikowanego jako off-topic, bez zapisu, że zgłoszenie zostało już przekonwertowane. Użytkownik mógł wielokrotnie edytować opis jednego zgłoszenia off-topic przed zakończeniem konwersji, powodując tworzenie wielu dyskusji dla tego samego zgłoszenia. Problem naprawiono commitem 627e0f0a16a7d74b09128106b57dd7e85d2545df.

OpenFeature Operator w wersji 0.9.2 i wcześniejszych pozwala najemcy, który może tworzyć obciążenia kontrolowane przez operatora, użyć adnotacji openfeature.dev/featureflagsource ze składnią NAMESPACE/NAME do odwołania się do FeatureFlagSource lub InProcessConfiguration w innej przestrzeni nazw. Na klastrach wielodostępnych operator o zasięgu klastra odczytuje ten zasób i materializuje wartości spec.envVars, spec.httpSyncBearerToken, URI synchronizacji oraz powiązane ConfigMapy w obciążeniu najemcy. Klastry jednodostępne nie są dotknięte, a wartości secretKeyRef i configMapKeyRef pozostają lokalne dla przestrzeni nazw.

W Pomerium (proxy dostępu opartym na tożsamości) przed wersją 0.32.8 funkcja decodeQueryStringV2 w pkg/hpke/url.go wykonuje dekompresję zstd danych kontrolowanych przez atakującego bez limitu pamięci wyjściowej, gdy DecryptURLValues przetwarza wartości HPKE V2 dla Stateless.Callback. W wdrożeniach hostowanych lub bezstanowych nieuwierzytelniony atakujący może pobrać klucz odbiorcy z /.well-known/pomerium/hpke-public-key, podać pasujący klucz nadawcy i wysłać skompresowany ładunek do /.pomerium/callback, który rozszerza się przed odrzuceniem nadawcy. Luka jest naprawiona w wersji 0.32.8.