Katalog podatności CVE

Funkcja ParseAcceptLanguage w oprogramowaniu pośredniczącym Locale powoduje atak DoS o złożoności kwadratowej na nieuwierzytelnionych żądaniach. Wysyłanie specjalnie spreparowanych nagłówków Accept-Language może przeciążyć serwer.

Metadane prywatnego repozytorium pozostają dostępne po cofnięciu dostępu użytkownikowi. Oznacza to, że informacje o repozytorium (np. nazwa, opis) mogą być nadal widoczne dla osób, które utraciły uprawnienia.

Podatność powoduje wyciek listy członków prywatnej organizacji przez punkt końcowy /members API. Jest to niekompletna poprawka dla PR #38145.

Podatność w REST API ujawnia publicznie członkostwo w organizacjach prywatnych. Osoby nieuprawnione mogą uzyskać informacje o członkach prywatnych organizacji.

Podatność w zadaniach Actions dla pull requestów z forka umożliwia odczyt trzeciego prywatnego repozytorium poprzez gałąź collaborative-owner. Brakuje zabezpieczenia dla fork-PR.

W Gitea 1.26.2 znaleziono dwie podatności typu Server-Side Request Forgery (SSRF). Umożliwiają one atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów.

Podatność w migracji repozytoriów pozwala na podążanie za przekierowaniami HTTP Git po walidacji URL (allow/block), co umożliwia eksfiltrację wewnętrznych repozytoriów Git.

Logowanie przez OAuth2 może reaktywować konto dezaktywowane przez administratora, jeśli źródło autoryzacji nie używa tokenów odświeżania (niepełna poprawka #38009).

CVE-2026-55402 to podatność odczytu poza zakresem w serwerach Secure Access przed wersją 14.57. Atakujący znajdujący się w pozycji 'man-in-the-middle' mogą wysyłać specjalnie spreparowane dane do serwera, powodując trwałą odmowę usługi.

Wewnętrzny klient API ma na stałe ustawione InsecureSkipVerify:true, co wyłącza weryfikację certyfikatów TLS, bez możliwości zmiany tej konfiguracji. To narusza zasadę CWE-295 (niewłaściwa weryfikacja certyfikatu).

Tokeny przeznaczone wyłącznie do dostępu publicznego mogą ominąć ograniczenia dotyczące zasobów prywatnych na trasach `/api/v1/user` (self routes).

Podatność w module Data::MuForm::Localizer dla Perla (do wersji 0.05) pozwala na wykonanie dowolnego kodu poprzez specjalnie spreparowany nagłówek katalogu komunikatów. Funkcja load_lexicon nie sprawdza poprawności atrybutu języka, co umożliwia wczytanie dowolnego pliku .po z systemu, a następnie wykonanie kodu z nagłówka Plural-Forms.

System CMS zawiera podatność SQL injection w pliku admin/db_data.php w linii 509, która pozwala uwierzytelnionym administratorom na wstrzykiwanie dowolnego SQL do instrukcji SHOW COLUMNS FROM poprzez podanie nieoczyszczonych danych wejściowych przez parametr table_name GET lub POST. Atakujący mogą stosować techniki traversal tabel, ślepe oparte na czasie, ślepe oparte na boolean i oparte na błędach, aby wyliczyć pełny schemat bazy danych, uzyskać dostęp do tabel systemowych, takich jak information_schema, i połączyć ujawnienie z wtórnymi punktami wstrzykiwań w celu wydobycia danych uwierzytelniających.

PostGIS przed wersją 3.7.0beta2 zawiera podatność odczytu poza zakresem, która pozwala atakującym na ujawnienie pamięci lub awarię serwera poprzez dostarczenie nieprawidłowego bufora FlatGeobuf. Dekoder metadanych właściwości FlatGeobuf weryfikuje obecność pola długości stringa, ale nie sprawdza, czy treść stringa znajduje się w dostarczonym buforze przed zmaterializowaniem go do wartości widocznej w SQL, co umożliwia ujawnienie pamięci lub odmowę usługi.

Rozszerzenie address_standardizer dla PostGIS do wersji 3.7.0, naprawione w commicie 423570b, zawiera podatność zapisu poza zakresem, która pozwala użytkownikowi bazy danych, mającemu możliwość dostarczania nazw relacji kontrolowanych przez wywołującego do standardize_address(), na wywołanie uszkodzenia pamięci poprzez podanie tabeli reguł z wartością Type klasyfikacji przekraczającą ustalony zakres klas. Atakujący mogą stworzyć złośliwy wpis tabeli reguł z nadmierną wartością typu reguły, która jest używana bez sprawdzania granic jako indeks do wewnętrznej tabeli linków wyjściowych, co skutkuje zapisem poza zakresem.

Podatność znaleziona w SourceCodester Simple Student Information System. Dotyczy nieznanej funkcjonalności pliku app/admin/departments/view_department.php. Manipulacja argumentem ID powoduje SQL injection. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.

OpenList, program do listowania plików obsługujący wiele magazynów, przed wersją 4.2.4, w uwierzytelnionym handlerze /api/fs/batch_rename w server/handles/fsbatch.go autoryzuje tylko katalog źródłowy utworzony przez user.JoinPath(req.SrcDir) i waliduje renameObject.NewName za pomocą checkRelativePath, ale nie waliduje kontrolowanego przez atakującego renameObject.SrcName, dostarczanego jako src_name, przed połączeniem go z autoryzowaną ścieżką i przekazaniem wyniku do fs.Rename. Użytkownik z uprawnieniami do zmiany nazw może użyć segmentów traversal w src_name, aby normalizacja ścieżki wybrała plik poza autoryzowanym katalogiem i skonfigurowaną ścieżką bazową, co skutkuje utratą integralności plików między użytkownikami, ograniczonym wpływem na dostępność i ujawnieniem istnienia plików poprzez odpowiedzi sukcesu lub błędu. Problem naprawiono w wersji 4.2.4.

Netty przed wersjami 4.1.136.Final i 4.2.16.Final zawiera podatność w XmlFrameDecoder.decode(), która nie zachowuje stanu parsera dla znaczników zamykających między wywołaniami. Zdalny, nieuwierzytelniony atakujący może wysyłać powtarzające się sekwencje </, powodując wielokrotne skanowanie bufora i wyczerpanie CPU wątku EventLoop, co prowadzi do odmowy usługi przy maxFrameLength 1 MB.

Oh My Posh przed wersją 29.35.1 zawiera podatność w funkcji setStyle() w src/segments/path.go, która przekazuje pt.Path (zawierający surowe nazwy folderów) do template.Render, którego mapa funkcji udostępnia cmd. Atakujący kontrolujący nazwę katalogu z wyrażeniem szablonu Go może wykonać dowolne polecenia systemu operacyjnego jako bieżący użytkownik, gdy prompt renderuje się w tym katalogu lub podkatalogu.