Katalog podatności CVE

Podatność w libp2p (JavaScript) przed wersją 4.2.9: ścieżka odświeżania rezerwacji w reservation-store.ts ponownie używa tego samego retimeableSignal, ale bezwarunkowo rejestruje kolejny listener przerwania przy każdym odświeżeniu. Zdalny peer może wielokrotnie wysyłać prawidłowe żądania RESERVE dla tej samej rezerwacji, powodując nieograniczony wzrost liczby listenerów i domknięć w serwerach przekaźnikowych @libp2p/circuit-relay-v2, co prowadzi do odmowy usługi.

Podatność w wtyczce CakePHP Authentication (wersje przed 2.11.2, od 3.0.0 do 3.3.6 oraz od 4.0.0 do 4.2.0) pozwala na obejście uwierzytelniania i potencjalne wyczerpanie CPU lub pamięci, gdy CookieAuthenticator używa niezaszyfrowanych, podrabialnych tokenów starszego typu. Problem został naprawiony w wersjach 2.11.2, 3.3.7 i 4.2.1.

OpenEXR w wersjach od 3.4.0 do 3.4.13 ma podatność na awarię podczas dekodowania specjalnie spreparowanych plików EXR skompresowanych HTJ2K. Problem dotyczy geometrii kafelków i bloków kodu w dekoderze AVX2 OpenJPH, co może prowadzić do zapisu poza stosem i odmowy usługi. Poprawka została wydana w wersji 3.4.14.

OpenTelemetry-Go w wersjach od 0.11.0 do 1.44.0 ma podatność na panikę w moście OpenTracing z powodu niesynchronizowanej mapy extraBaggageItems. Jednoczesne wywołania SetBaggageItem i correlation.MapFromContext na tym samym bridgeSpan mogą prowadzić do błędu krytycznego i zatrzymania procesu, co powoduje odmowę usługi. Poprawka jest w wersji 1.45.0.

Podatność w wtyczce ACPT (Pro) - Custom Post Types Plugin dla WordPressa w wersjach do 2.0.63 pozwala subskrybentowi na wstrzyknięcie obiektów PHP (PHP Object Injection).

Podatność na eskalację uprawnień subskrybenta w wtyczce Booking Hub w wersjach do 1.3.0 włącznie.

Podatność na lokalne dołączanie plików (Local File Inclusion) dla subskrybentów w wtyczce MagicAI dla WordPressa - generator tekstu, obrazów, czatu, kodu i głosu w wersjach do 1.4 włącznie.

Podatność w UltimateAI w wersjach do 3.1.0 umożliwia subskrybentowi (użytkownikowi o niskich uprawnieniach) przesyłanie dowolnych plików na serwer.

Nieuwierzytelnione podatności na Cross Site Scripting (XSS) w wtyczce Boost w wersjach do 2.0.4 włącznie.

Podatność w Boost w wersjach do 2.0.4 umożliwia nieuwierzytelnioną iniekcję SQL.

Podatność w WooBeWoo Product Filter Pro w wersjach do 3.1.8 umożliwia nieuwierzytelnioną iniekcję SQL.

Wtyczka Style Kits w wersjach do 2.6.5 ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów (Broken Access Control). Użytkownik o roli subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.

W CRI-O wykryto podatność w obsłudze zmiennych środowiskowych podczas tworzenia kontenerów. Gdy żądanie CreateContainer zawiera pole Envs o wartości nil, CRI-O używa nieprzetworzonych wpisów config.Env z obrazu OCI, co może prowadzić do paniki Go i awarii demona crio. Problem występuje, gdy wpis nie zawiera znaku '='.

Złośliwie spreparowany plik FLT, analizowany przez Autodesk 3ds Max, może wymusić podatność zapisu poza zakresem (Out-of-Bounds Write). Atakujący może wykorzystać tę podatność do spowodowania awarii, uszkodzenia danych lub wykonania dowolnego kodu w kontekście bieżącego procesu.

CakePHP to framework do szybkiego tworzenia aplikacji w PHP. Przed wersjami 5.1.10, 5.2.15 i 5.3.7 funkcja FunctionsBuilder::jsonValue() z PostgresDriver jest podatna na iniekcję SQL, gdy dane kontrolowane przez użytkownika są przekazywane do parametru jsonPath.

CakePHP to framework szybkiego rozwoju dla PHP. Przed wersjami 4.5.12, 4.6.5, 5.1.8, 5.2.14 i 5.3.7 w odpowiednich liniach wydań, niestandardowe nagłówki poczty dodawane za pomocą Message::setHeaders() lub Message::addHeaders() nie mają usuniętych bajtów CRLF, co umożliwia wstrzyknięcie nagłówków, gdy dane kontrolowane przez użytkownika są używane w nagłówkach wiadomości.

Filament to kolekcja komponentów full-stack do przyspieszonego rozwoju w Laravel. Przed wersjami 4.12.0 i 5.7.0, nieprawidłowa obsługa pól wymaganych w formularzu wyzwania umożliwia obejście uwierzytelniania wieloskładnikowego opartego na aplikacji, gdy włączone są kody odzyskiwania. Uwierzytelnianie wieloskładnikowe oparte na e-mailu nie jest dotknięte.

W hexpm (hex.pm) występuje podatność polegająca na niewystarczającym wygaśnięciu sesji w mechanizmie odświeżania tokenów OAuth. Użytkownik usunięty z organizacji może nadal czytać prywatne pakiety, ponieważ zakresy uprawnień nie są poprawnie aktualizowane. Problem dotyczy wersji hex.pm od 2025-10-10 do przed 2026-08-24.

Podatność nieprawidłowej autoryzacji w punkcie końcowym tokenu OAuth w hexpm pozwala kluczowi API z uprawnieniem repositories na odczyt prywatnych pakietów innej organizacji. Podczas wymiany klucza na token, walidacja zakresów nie sprawdza nazwy organizacji względem podmiotu, a zakres repository:<nazwa> jest przepuszczany bez zmian. Token daje dostęp do odczytu prywatnych pakietów organizacji aż do wygaśnięcia.

OneNav 1.2.4 zawiera uwierzytelnioną podatność na dowolne usuwanie plików poprzez funkcję import_link().