Katalog podatności CVE

Podatność powoduje uszkodzenie pamięci podczas przetwarzania wywołań IOCTL tylnego czujnika.

Podatność powoduje przejściową odmowę usługi (DOS) podczas przetwarzania mapy kanałów z niewystarczającą liczbą używanych kanałów, gdy adaptacyjne przeskakiwanie częstotliwości jest w pełni włączone.

Podatność powoduje uszkodzenie pamięci, gdy wiele wątków wykonuje równoczesne żądania IOCTL do procedury obsługi sterowania urządzeniem z powodu niewłaściwej synchronizacji i warunków wyścigu.

Podatność powoduje uszkodzenie pamięci podczas przetwarzania danych z dużymi wartościami przesunięcia i długości, które przekraczają limity bufora podczas operacji kopiowania danych.

Podatność powoduje uszkodzenie pamięci podczas przetwarzania statystyk dekodowania z powodu niewystarczającej walidacji przesunięcia względem rozmiaru struktury.

Podatność powoduje uszkodzenie pamięci podczas kopiowania dużych danych wejściowych, które przekraczają normalne limity alokacji.

Canva Desktop w wersjach przed v1.125.0 wykonywał podwójne dekodowanie w obsłudze deeplinków. Atakujący mógł zmusić aplikację do załadowania dowolnej treści z tego samego origin w kontekście sesji użytkownika.

Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPressa jest podatna na trwały Cross-Site Scripting poprzez atrybuty shortcode we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W komponencie Acer Agent Service dołączonym do NitroSense i PredatorSense wykryto podatność wynikającą z użycia zaszyfrowanego klucza AES na stałe w oprogramowaniu. W pewnych okolicznościach lokalny atakujący może użyć tego klucza do uzyskania dostępu do chronionych informacji lub wykonania nieautoryzowanych działań.

Wtyczka All-in-One WP Migration and Backup dla WordPressa jest podatna na niewystarczającą ochronę poświadczeń w wersjach do 7.110 włącznie. Metoda `Ai1wm_Main_Controller::init()` rejestrowana na hooku `admin_init` odczytuje `$_SERVER['PHP_AUTH_USER']` i `$_SERVER['PHP_AUTH_PW']` z każdego przychodzącego żądania i zapisuje je w opcji `ai1wm_auth_header` jako odwracalny ciąg base64, bez sprawdzenia uprawnień, weryfikacji nonce, sprawdzenia `is_user_logged_in()` ani potwierdzenia, że uwierzytelnianie Basic się powiodło. Umożliwia to nieuwierzytelnionym atakującym przechwycenie do bazy danych w odwracalnej formie base64 wszelkich haseł aplikacji WordPress lub poświadczeń HTTP Basic przekazywanych do `/wp-admin/` przez legalną integrację, albo nadpisanie zapisanego poświadczenia wartością wybraną przez atakującego poprzez wysłanie anonimowego żądania z spreparowanym nagłówkiem `Authorization: Basic`.

W aplikacji GeoVision GV-Remote E-Map występuje podatność typu DLL hijacking. Aplikacja ładuje jedną lub więcej bibliotek DLL z niebezpiecznej ścieżki wyszukiwania, co pozwala lokalnemu atakującemu umieścić złośliwą bibliotekę DLL w lokalizacji przeszukiwanej przed prawidłową lokalizacją biblioteki. W przypadku udanego wykorzystania atakujący z lokalnym dostępem do zapisu w dotkniętym katalogu może uzyskać wykonanie dowolnego kodu w kontekście bezpieczeństwa procesu GV-Remote E-Map.

Aplikacja Affinity by Canva przed wersją 3.3.0 (wydanie z września 2026) nie przeprowadzała odpowiedniego sprawdzania granic podczas analizowania plików dokumentów Affinity, co prowadzi do przepełnienia bufora na stosie. Atakujący może stworzyć dokument Affinity, który po otwarciu przez użytkownika w Affinity może spowodować wykonanie dowolnego kodu.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację numerującą CVE. Brak dostępnych szczegółów technicznych dotyczących podatności.

Zdalny atakujący kontrolujący rejestr kontenerów może przekierować żądanie tokenu klienta do wybranego przez siebie hosta i ujawnić mu poświadczenia rejestru ofiary. Podatność została naprawiona w wersji containerization 0.41.0.

Podatność w bibliotece djust (przed wersją 1.0.7) pozwala nieuwierzytelnionemu klientowi WebSocket na wywołanie importu dowolnego modułu Pythona poprzez spreparowaną ścieżkę widoku. Import wykonywany jest przed weryfikacją klasy LiveView i autoryzacją, a lista dozwolonych modułów jest domyślnie otwarta (fail-open) i używa luźnego dopasowania.

djust przed wersją 1.0.7 nie egzekwuje autoryzacji na poziomie obiektu (get_object + has_object_permission) na trzech ścieżkach renderowania: początkowym renderowaniu HTTP GET, nawigacji SPA url_change oraz osadzonych widokach podrzędnych {% live_render %}. Uwierzytelniony użytkownik może wyświetlać i działać na obiektach, do których nie ma uprawnień, co jest klasycznym IDOR. Problem naprawiono w wersji 1.0.7.

W bibliotece djust przed wersją 1.0.7 ścieżka WebSocket (handle_mount i ViewRuntime._build_request) odtwarza HttpRequest bez nagłówka HTTP_HOST, przez co get_host() zwraca "testserver". Powoduje to błędne rozwiązywanie dzierżawcy (tenant) na ścieżce live — przy STRICT_MODE=False może dojść do ujawnienia danych między dzierżawcami, a przy domyślnym ustawieniu do zwracania pustych wyników. Problem naprawiono w wersji 1.0.7.

W bibliotece djust przed wersją 1.0.7 przypisanie instancji modelu Django do publicznego atrybutu widoku powodowało serializację całego obiektu do klienta bez listy zabronionych pól wrażliwych. W efekcie do przeglądarki trafiały takie dane jak hash hasła, flagi uprawnień (is_staff, is_superuser), tokeny i inne dane osobowe. Problem naprawiono w wersji 1.0.7.

joi (pakiet npm joi, hapi.js) w wersjach >=17.2.0 <17.13.7 oraz >=18.0.0 <18.2.6 jest podatny na odmowę usługi poprzez wyrażenia regularne w regule walidacji Joi.string().isoDate(). Jedno z wyrażeń regularnych zastosowanych do danych wejściowych nie jest zakotwiczone, więc prawidłowa data ISO, po której następuje długi ciąg cyfr ułamkowych sekund, powoduje, że silnik regex rozpoczyna wyszukiwanie od każdej pozycji w ciągu, co daje czas proporcjonalny do kwadratu długości danych wejściowych (około 1,4 s dla 64 KB cyfr i około 22 s dla 256 KB). Zdalny atakujący, który może dostarczyć ciąg do walidacji isoDate, może zatrzymać aplikację pojedynczym żądaniem. Naprawiono w 17.13.7 i 18.2.6; jako obejście należy ograniczyć długość ciągu przed przekazaniem go do joi.

Nodemailer przed wersją 9.1.0 nie stosuje normalizacji UTS-46 przy kodowaniu międzynarodowych nazw domen, przez co resolver domen oblicza inny A-label Punycode niż parsery zgodne ze standardem. Atakujący może tworzyć adresy odbiorców z niewidocznymi znakami lub mapowaniami zgodności, które przechodzą kontrolę listy dozwolonych domen, ale są dostarczane do domen kontrolowanych przez atakującego przez SMTP.