Katalog podatności CVE

SyncBreeze w wersji 10.0.28 zawiera podatność typu denial of service w punkcie logowania, która pozwala zdalnym atakującym na awarię usługi. Atakujący mogą wysłać zbyt duży ładunek w żądaniu logowania, co może prowadzić do zakłócenia dostępności usługi.

Victor CMS w wersji 1.0 zawiera podatność na przesyłanie plików, która pozwala uwierzytelnionym użytkownikom na przesyłanie złośliwych plików PHP za pomocą funkcji przesyłania zdjęć profilowych. Atakujący mogą przesłać powłokę PHP do katalogu /img i wykonywać polecenia systemowe, uzyskując dostęp do przesłanego pliku przez przeglądarkę internetową.

Cassandra Web w wersji 0.5.0 zawiera podatność na przejście katalogu, która pozwala nieautoryzowanym atakującym na odczyt dowolnych plików poprzez manipulację parametrami przejścia ścieżki. Atakujący mogą wykorzystać wyłączony moduł Rack::Protection do odczytu wrażliwych plików systemowych, takich jak /etc/passwd, oraz uzyskać dane uwierzytelniające do bazy danych Apache Cassandra.

WinAVR w wersji 20100110 zawiera podatność na niebezpieczne uprawnienia, która pozwala uwierzytelnionym użytkownikom na modyfikację plików systemowych i wykonywalnych. Atakujący mogą wykorzystać zbyt luźne kontrole dostępu do potencjalnej modyfikacji krytycznych plików DLL i wykonywalnych w katalogu instalacyjnym WinAVR.

Lokalny atakujący z niskimi uprawnieniami może obejść uwierzytelnianie interfejsu użytkownika Menedżera Urządzeń, co pozwala mu na wykonywanie operacji z uprawnieniami administratora.

Atakujący z niskimi uprawnieniami może zdalnie wykonać dowolny kod, wysyłając specjalnie przygotowane wywołania do usługi internetowej Menedżera Urządzeń lub lokalnie za pomocą API. Może to prowadzić do przepełnienia całkowitego, co skutkuje możliwością wykonania dowolnego kodu w procesach z wyższymi uprawnieniami.

W podatności CVE-2026-24828 występuje brak zwolnienia pamięci po efektywnym czasie życia w is-Engine, co może prowadzić do wycieków pamięci. Problem dotyczy wersji is-Engine przed 3.3.4.

Podatność typu 'Out-of-bounds Write' w Commander-Genius, która występuje przed wydaniem refs/pull/358/merge. Problem ten może prowadzić do nieautoryzowanego zapisu danych poza przydzielonym obszarem pamięci.

Wersja 1.17478.146 interfejsu administracyjnego EZCast Pro II zawiera podatność typu Cross-Site Request Forgery, która pozwala atakującym na ominięcie kontroli autoryzacji i uzyskanie pełnego dostępu do interfejsu administracyjnego.

Dell CloudBoost Virtual Appliance w wersjach przed 19.14.0.0 zawiera podatność na przechowywanie haseł w postaci niezaszyfrowanej. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność, co może prowadzić do podniesienia uprawnień.

UEVR przed wersją 1.05 zawiera podatność na zapis poza dozwolony obszar pamięci w modułach lua/src, w plikach ldebug.C i lvm.C. Może to prowadzić do nieoczekiwanego zachowania lub awarii programu.

SKRoot-linuxKernelRoot ma podatność na odwołanie do wskaźnika NULL w module testRoot/jni/utils, w pliku cJSON.Cpp. Może to prowadzić do awarii programu.

RawTherapee do wersji 5.11 ma podatność na przepełnienie liczby całkowitej w module rtengine, w pliku dcraw.Cc. Może to prowadzić do nieoczekiwanego zachowania lub awarii.

EZCast Pro II w wersji 1.17478.146 ma wiele przepełnień bufora w interfejsie administracyjnym, co pozwala atakującym na spowodowanie awarii programu i potencjalne zdalne wykonanie kodu.

Podatność w API uprawnień dashboardu pozwala użytkownikowi z prawami zarządzania uprawnieniami na jednym dashboardzie na odczyt i modyfikację uprawnień na innych dashboardach. Wynika to z braku weryfikacji zakresu docelowego dashboardu oraz sprawdzania tylko akcji dashboards.permissions:*.

Podatność w Grafan polega na tym, że każde niebuforowane żądanie do /avatar/:hash tworzy nową gorutynę, która odświeża obraz Gravatar. Jeśli odświeżenie utknie w kolejce roboczej na dłużej niż trzy sekundy, handler kończy się z timeoutem i przestaje nasłuchiwać wyniku, przez co gorutyna blokuje się na zawsze, próbując wysłać dane przez niebuforowany kanał. Ciągły ruch z losowymi hashami powoduje stały wzrost liczby gorutyn, co prowadzi do wyczerpania pamięci i awarii Grafany na niektórych systemach.

anyRTC-RTMP-OpenSource przed wersją 1.0 ma podatność na nieprawidłowe ograniczenie operacji w obrębie bufora pamięci w module third_party/faad2-2.7/libfaad, w plikach bits.C i syntax.C. Może to prowadzić do awarii lub naruszenia bezpieczeństwa.

Beat-access dla systemu Windows w wersji 3.0.3 i wcześniejszych zawiera problem z ścieżką wyszukiwania DLL, co może prowadzić do niebezpiecznego ładowania dynamicznych bibliotek. W rezultacie może zostać wykonany dowolny kod z uprawnieniami SYSTEM.

Podatność CVE-2026-1361 dotyczy przepełnienia bufora na stosie w oprogramowaniu ASDA-Soft. Może to prowadzić do nieautoryzowanego dostępu do pamięci i potencjalnego wykonania złośliwego kodu.

MobSF to narzędzie do testowania bezpieczeństwa aplikacji mobilnych. W wersjach przed 4.4.5 występuje podatność typu Stored Cross-site Scripting (XSS) w analizie manifestu Androida, która pozwala atakującemu na wykonanie dowolnego kodu JavaScript w kontekście sesji przeglądarki ofiary poprzez przesłanie złośliwego pliku APK.