Katalog podatności CVE

Wasmtime to środowisko uruchomieniowe dla WebAssembly. W wersjach wcześniejszych niż 24.0.6, 36.0.6, 4.0.04, 41.0.4 i 42.0.0, implementacja zasobu `wasi:http/types.fields` jest podatna na paniki, gdy zbyt wiele pól zostanie dodanych do zestawu nagłówków, co prowadzi do awarii.

Wasmtime to środowisko uruchomieniowe dla WebAssembly. Od wersji 39.0.0 funkcja `component-model-async` stała się domyślna, co wprowadziło nową implementację `[Typed]Func::call_async`, która miała błąd prowadzący do paniki w określonych okolicznościach związanych z wywołaniami asynchronicznymi.

Framework webowy Fiber, inspirowany Express, w wersjach z gałęzi v3 przed 3.1.0, umożliwia wykorzystanie ciasteczka `fiber_flash`, co może prowadzić do nieograniczonej alokacji pamięci na serwerze. W przypadku spreparowanej wartości ciasteczka o długości 10 znaków, próba alokacji może wynieść nawet 85GB pamięci poprzez niezweryfikowaną deserializację msgpack.

Fiber to framework webowy inspirowany Express, napisany w Go. Występuje w nim podatność typu Path Traversal (CWE-22), która pozwala zdalnemu atakującemu na ominięcie sanitizera middleware statycznego i odczytanie dowolnych plików z systemu plików serwera na systemie Windows. Problem dotyczy wersji Fiber od 3 do 3.0.0 i został naprawiony w wersji 3.1.0.

W frameworku webowym Fiber, inspirowanym Express, występuje podatność na atak typu denial of service w wersjach v2 i v3. Atakujący może spowodować awarię aplikacji, wysyłając żądania do tras z więcej niż 30 parametrami, co wynika z braku walidacji podczas rejestracji tras oraz nieograniczonego zapisu do tablicy podczas dopasowywania żądań.

Wersje EventSentry przed 6.0.1.20 zawierają podatność na niezweryfikowaną zmianę hasła w funkcjonalności zarządzania kontem w interfejsie Web Reports. Mechanizm zmiany hasła nie wymaga weryfikacji aktualnego hasła przed ustawieniem nowego hasła.

Podatność CVE-2026-3105 dotyczy wstrzykiwania SQL w punkcie końcowym API używanym do pobierania aktywności kontaktów. W konstrukcji zapytania dla osi czasu aktywności kontaktów parametr odpowiedzialny za określenie kierunku sortowania nie był ściśle weryfikowany, co potencjalnie pozwalało uwierzytelnionym użytkownikom na wstrzykiwanie dowolnych poleceń SQL przez API.

Rodziny urządzeń Tattile Smart+, Vega i Basic w wersjach oprogramowania 1.181.5 i wcześniejszych udostępniają strumienie RTSP bez wymogu uwierzytelnienia. Zdalny atakujący może połączyć się z usługą RTSP i uzyskać dostęp do strumieni wideo/audio na żywo bez ważnych poświadczeń.

Dell Wyse Management Suite w wersjach przed WMS 5.5 zawiera podatność na nieograniczone przesyłanie plików o niebezpiecznym typie. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność, co może prowadzić do zdalnego wykonania kodu.

Dell Wyse Management Suite w wersjach przed WMS 5.5 zawiera lukę związaną z brakiem autoryzacji. Atakujący z niskimi uprawnieniami, mający zdalny dostęp, może wykorzystać tę lukę do podniesienia swoich uprawnień.

Produkty NVIDIA Cumulus Linux i NVOS zawierają podatność w interfejsie NVUE, która pozwala użytkownikowi o niskich uprawnieniach na wstrzyknięcie polecenia. Udane wykorzystanie tej podatności może prowadzić do eskalacji uprawnień.

Produkty NVIDIA Cumulus Linux i NVOS zawierają podatność w interfejsie NVUE, która pozwala na wstrzyknięcie polecenia przez użytkownika o niskich uprawnieniach. Udane wykorzystanie tej podatności może prowadzić do eskalacji uprawnień.

Produkty NVIDIA Cumulus Linux i NVOS zawierają podatność w interfejsie NVUE, która pozwala użytkownikowi o niskich uprawnieniach na uruchomienie nieautoryzowanego polecenia. Skuteczne wykorzystanie tej podatności może prowadzić do eskalacji uprawnień.

Podatność CVE-2025-1789 dotyczy usługi aktualizacji Genetec, która pozwala na lokalne podniesienie uprawnień. Użytkownik Windows z niskimi uprawnieniami, po uwierzytelnieniu, może wykorzystać tę podatność do uzyskania wyższych uprawnień na zaatakowanym systemie.

Mastodon to darmowy, otwartoźródłowy serwer sieci społecznościowej oparty na ActivityPub. W wersjach 4.4.0 do 4.4.13 oraz 4.5.0 do 4.5.6, działania wykonywane przez FASP w celu subskrypcji zdarzeń związanych z kontem/treścią nie sprawdzały poprawnie, czy FASP został zatwierdzony przez administratora. Problem ten dotyczy serwerów Mastodon, które włączyły eksperymentalną funkcję FASP.

W podatności CVE-2025-14963 zidentyfikowano problem w pliku sterownika HX Agent (fekern.sys), który umożliwia lokalnemu użytkownikowi uzyskanie podwyższonych uprawnień systemowych. Wykorzystanie podatnego sterownika w ramach Bring Your Own Vulnerable Driver (BYOVD) pozwala na dostęp do krytycznego procesu pamięci Windows lsass.exe.

Wiele programów Finka używa wbudowanych, twardo zakodowanych poświadczeń do bazy danych Firebird, które są wspólne dla wszystkich instancji tego oprogramowania. Złośliwy atakujący w lokalnej sieci, znający domyślne poświadczenia, może odczytywać i edytować zawartość bazy danych.

Piwigo to aplikacja do tworzenia galerii zdjęć w sieci. W wersjach z gałęzi 14.x, podczas instalacji, parametr konfiguracyjny secret_key jest ustawiany na MD5(RAND()), co ogranicza losowość do 30 bitów, umożliwiając atak brute-force na klucz tajny. Token CSRF jest częściowo budowany na podstawie klucza tajnego, co pozwala na weryfikację udanego ataku.

Oprogramowanie układowe przełącznika sieciowego Binardat 10G08-0800GSM w wersji V300SP10260209 i wcześniejszych nie wprowadza ograniczeń prędkości ani blokady konta po nieudanych próbach logowania, co umożliwia ataki typu brute-force na dane uwierzytelniające użytkowników.

Oprogramowanie układowe przełącznika sieciowego Binardat 10G08-0800GSM w wersjach wcześniejszych niż V300SP10260209 przechowuje hasło użytkownika w ciasteczku po stronie klienta jako wartość zakodowaną w Base64, dostępną przez interfejs webowy. Ponieważ Base64 jest odwracalne i nie zapewnia poufności, atakujący, który ma dostęp do wartości ciasteczka, może odzyskać hasło w postaci tekstu jawnego.