Katalog podatności CVE

Podatność CVE-2026-0780 dotyczy urządzeń ALGO 8180 IP Audio Alerter i pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez zdalne wstrzyknięcie polecenia. Wykorzystanie tej podatności wymaga uwierzytelnienia.

Podatność CVE-2026-0779 dotyczy urządzeń ALGO 8180 IP Audio Alerter i pozwala zdalnym atakującym na wykonanie dowolnego kodu. Wymagana jest autoryzacja, aby wykorzystać tę podatność, która wynika z braku odpowiedniej walidacji ciągu dostarczonego przez użytkownika w interfejsie webowym.

Podatność w usłudze Telnet w stacjach ładowania Enel X JuiceBox 40 umożliwia zdalne wykonanie dowolnego kodu bez potrzeby uwierzytelnienia. Problem wynika z braku autoryzacji przed nawiązaniem połączeń zdalnych.

Podatność w kliencie Discord umożliwia lokalnym atakującym eskalację uprawnień na zainstalowanych wersjach aplikacji. Problem występuje w module discord_rpc, który ładuje plik z niezabezpieczonej lokalizacji.

Podatność w npm cli umożliwia lokalnemu atakującemu eskalację uprawnień poprzez nieprawidłowe przypisanie uprawnień do modułów. Aplikacja ładuje moduły z niezabezpieczonej lokalizacji, co pozwala na wykonanie kodu w kontekście docelowego użytkownika.

Podatność CVE-2026-0774 dotyczy strony konfiguracyjnej WatchYourLAN, gdzie występuje możliwość wstrzyknięcia argumentów, co prowadzi do zdalnego wykonania kodu. Atakujący z sieci lokalnej mogą wykorzystać tę lukę do uruchomienia dowolnego kodu na zainfekowanych instalacjach bez potrzeby uwierzytelnienia.

Podatność CVE-2026-0772 dotyczy deserializacji niezaufanych danych w usłudze pamięci podręcznej dysku Langflow, co pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Wymagana jest autoryzacja, aby wykorzystać tę podatność.

Podatność CVE-2026-0771 dotyczy zdalnego wykonania kodu w Langflow poprzez wstrzyknięcie kodu Python. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach Langflow, w zależności od konfiguracji produktu.

Podatność CVE-2026-0762 dotyczy funkcji stream_daas w GPT Academic, gdzie brak odpowiedniej walidacji danych dostarczanych przez użytkownika prowadzi do deserializacji niezaufanych danych. Atakujący może zdalnie wykonać dowolny kod na zainfekowanych instalacjach, wymagając interakcji z złośliwym serwerem DAAS.

Podatność CVE-2026-0758 dotyczy mcp-server-siri-shortcuts i pozwala lokalnym atakującym na eskalację uprawnień. Problem wynika z braku odpowiedniej walidacji parametru shortcutName, co umożliwia wykonanie złośliwego kodu w kontekście konta usługi.

Podatność w MCP Manager dla Claude Desktop umożliwia zdalnym atakującym obejście piaskownicy na podatnych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

W SIPp znaleziono lukę, która pozwala zdalnemu atakującemu na wysyłanie specjalnie przygotowanych wiadomości SIP podczas aktywnego połączenia. Ta podatność, związana z dereferencją wskaźnika NULL, może spowodować awarię aplikacji, prowadząc do odmowy usługi.

Podatność CVE-2025-15351 dotyczy deserializacji niezaufanych danych podczas analizy plików CHX w Anritsu VectorStar, co pozwala zdalnym atakującym na wykonanie dowolnego kodu. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-15350 dotyczy deserializacji niezaufanych danych podczas analizy plików CHX w Anritsu VectorStar, co pozwala zdalnym atakującym na wykonanie dowolnego kodu. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-15349 dotyczy Anritsu ShockLine i pozwala atakującym z sieci lokalnej na zdalne wykonanie dowolnego kodu. Problem wynika z braku odpowiedniego blokowania podczas operacji na obiektach w komponencie SCPI.

Podatność CVE-2025-15348 dotyczy deserializacji niezaufanych danych w plikach CHX w Anritsu ShockLine, co pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-15062 dotyczy oprogramowania Trimble SketchUp i polega na wykorzystaniu błędu 'use-after-free' podczas analizy plików SKP. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach, jednak wymaga interakcji użytkownika, który musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność w GIMP umożliwia zdalne wykonanie kodu poprzez przepełnienie bufora sterty podczas parsowania plików PSP. Wymaga interakcji użytkownika (otwarcie złośliwego pliku lub strony).

Podatność w 7-Zip umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie nieprawidłowego przetwarzania linków symbolicznych w plikach ZIP. Wymagana jest interakcja z produktem, aby wykorzystać tę podatność, a wektory ataku mogą się różnić w zależności od implementacji.

FOG to darmowy, otwartoźródłowy system do klonowania, obrazowania, ratowania oraz zarządzania inwentarzem. W wersjach 1.5.10.1754 i wcześniejszych występuje nieautoryzowana podatność SSRF w pliku getversion.php, która może być wywołana przez podanie parametru url kontrolowanego przez użytkownika.