Katalog podatności CVE

Alist to program do zarządzania listą plików, który przed wersją 3.57.0 zawierał podatność na przechodzenie ścieżek w wielu obsługiwanych operacjach plikowych. Uwierzytelniony atakujący mógł obejść autoryzację na poziomie katalogu, wstrzykując sekwencje przechodzenia w komponentach nazw plików.

OpenClaw, osobisty asystent AI, przed wersją 2026.1.29 miał podatność na wstrzyknięcie poleceń systemowych poprzez ścieżkę główną projektu w funkcji sshNodeCommand. Funkcja ta nieprawidłowo obsługiwała ścieżkę projektu dostarczoną przez użytkownika, co umożliwiało wykonanie dowolnych poleceń na zdalnym hoście SSH.

Podatność w melange pozwala atakującym na wykonywanie dowolnych poleceń powłoki na hoście budującym, jeśli mają możliwość wpływania na dane wejściowe do potoku łatek. Wersje od 0.10.0 do przed 0.40.3 są narażone na tę lukę, ponieważ wartości pochodzące z wejścia są osadzane w skryptach powłoki bez odpowiedniego cytowania lub walidacji.

Biblioteka Compressing w wersjach 2.0.0 oraz 1.10.3 i wcześniejszych ma lukę, która pozwala na ekstrakcję archiwów TAR z symbolicznymi linkami bez weryfikacji ich celów. Atakujący może wykorzystać tę lukę, aby zapisać pliki w dowolnych lokalizacjach na systemie plików hosta.

Podatność w melange pozwala na wykonywanie dowolnych poleceń powłoki przez atakującego, który może dostarczyć wartości wejściowe do budowy, ale nie ma możliwości modyfikacji definicji pipeline'ów. Problem występuje w wersjach od 0.3.0 do przed 0.40.3, gdy pipeline wykorzystuje substytucje ${{vars.*}} lub ${{inputs.*}} w working-directory.

W wersjach od 0.11.3 do przed 0.40.3, melange pozwalał atakującym, którzy mogli wpływać na strumień tar z maszyny wirtualnej QEMU, na zapis plików poza zamierzonym katalogiem roboczym na hoście. Funkcja retrieveWorkspace nie weryfikowała, czy ścieżki pozostają w obrębie katalogu roboczego, co umożliwiało atak typu path traversal za pomocą sekwencji ../.

Apollo Server w wersjach od 2.0.0 do 3.13.0, 4.2.0 do przed 4.13.0 oraz 5.0.0 do przed 5.4.0 ma domyślną konfigurację startStandaloneServer, która jest podatna na ataki typu denial of service (DoS) poprzez specjalnie przygotowane ciała żądań z egzotycznymi kodowaniami zestawów znaków. Problem ten nie dotyczy użytkowników korzystających z @apollo/server jako zależności dla pakietów integracyjnych.

Water-Melon Melon w wersji 9df9292 i wcześniejszych jest podatny na atak typu Denial of Service. Komponent HTTP nie ma ustalonej maksymalnej długości, co pozwala na wysłanie nadmiernie długiego nagłówka żądania, co może prowadzić do wyczerpania pamięci RAM.

Podatność w apko pozwala atakującemu, który kontroluje lub kompromituje repozytorium APK, na wywołanie wyczerpania zasobów na hoście budującym. Funkcja ExpandApk nie narzuca limitów dekompresji, co umożliwia dostarczenie małego, mocno skompresowanego pliku .apk, który po rozpakowaniu zajmuje dużo miejsca na dysku i zużywa czas CPU.

W apko, które umożliwia budowanie i publikowanie obrazów kontenerów OCI z pakietów apk, odkryto podatność typu path traversal w abstrakcji systemu plików dirFS. Atakujący mogąc dostarczyć złośliwy pakiet APK, może tworzyć katalogi lub symlinki poza zamierzonym katalogiem instalacyjnym.

Złośliwie przygotowany plik GIF, przetwarzany przez Autodesk 3ds Max, może spowodować podatność na przepełnienie bufora na stosie. Złośliwy aktor może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście bieżącego procesu.

W n8n, platformie do automatyzacji procesów, zidentyfikowano podatność na wstrzykiwanie poleceń w funkcjonalności instalacji pakietów społecznościowych. Problem dotyczy wersji od 0.187.0 do przed 1.120.3 i pozwalał uwierzytelnionym użytkownikom z uprawnieniami administracyjnymi na wykonywanie dowolnych poleceń systemowych na hoście n8n.

OpenSTAManager to oprogramowanie open source do zarządzania pomocą techniczną i fakturowania. W wersji 2.9.8 i wcześniejszych występuje podatność na wstrzykiwanie SQL w module Stampe. W momencie publikacji nie istnieje znana łatka.

W oprogramowaniu OpenSTAManager w wersji 2.9.8 i wcześniejszych występuje podatność na wstrzykiwanie SQL w punkcie końcowym ajax_complete.php podczas obsługi operacji get_sedi. Umożliwia to uwierzytelnionemu atakującemu wstrzyknięcie złośliwego kodu SQL przez parametr idanagrafica, co prowadzi do nieautoryzowanego dostępu do bazy danych.

W jądrze Linux w sterowniku ipvlan wykryto problem synchronizacji związany z blokadą addrs_lock. Poprawka przenosi blokadę na poziom portu zamiast urządzenia ipvlan, co eliminuje potencjalne wyścigi przy dodawaniu/usuwaniu adresów IPv6 bez RTNL.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy ograniczenia BOND_MODE_8023AD do urządzeń Ethernet. Problem ten został rozwiązany, jednak wcześniej mógł prowadzić do błędów związanych z dostępem do pamięci.

W jądrze Linux wykryto wyciek pamięci w implementacji GUE (Generic UDP Encapsulation) spowodowany błędnym przetwarzaniem pakietów z wewnętrznym protokołem IP o wartości 0. Funkcja gue_udp_recv() zwraca wartość -proto_ctype dla ponownego przekazania, co nie działa dla protokołu 0, prowadząc do wycieku skb.

W jądrze systemu Linux zidentyfikowano podatność, która pozwala na zapis poza granicami bufora w module iio: dac: ad3552r-hs. Problem wynika z nieprawidłowego użycia zmiennej 'count' jako indeksu dla zakończenia null, co prowadzi do potencjalnego nadpisania pamięci.

W jądrze Linux wykryto podatność w module FOU (Foo-over-UDP). Gdy atrybut FOU_ATTR_IPPROTO jest ustawiony na 0, funkcja fou_udp_recv() nie zwalnia bufora skb ani nie przekazuje go dalej, co prowadzi do wycieku pamięci.

W jądrze systemu Linux naprawiono podatność dotyczącą błędnego zarządzania łączeniem anonimowych obszarów pamięci (VMA) podczas operacji mremap(). Problem występuje w trzech przypadkach, gdy sąsiadujące obszary pamięci są nieusunięte, co prowadzi do nieprawidłowego przetwarzania łączenia VMA.