Katalog podatności CVE

CVE-2026-23843 dotyczy aplikacji webowej PHP 'teklifolustur_app', która umożliwia użytkownikom tworzenie, zarządzanie i śledzenie ofert dla klientów. Wcześniej istniała podatność typu Insecure Direct Object Reference (IDOR) w funkcjonalności przeglądania ofert, która pozwalała uwierzytelnionym użytkownikom na manipulowanie parametrem offer_id w celu uzyskania dostępu do ofert innych użytkowników.

ChatterBot to silnik dialogowy oparty na uczeniu maszynowym, który umożliwia tworzenie chatbotów. Wersje ChatterBot do 1.2.10 są podatne na atak typu denial-of-service spowodowany niewłaściwym zarządzaniem sesjami bazy danych i pulą połączeń, co może prowadzić do wyczerpania puli połączeń SQLAlchemy.

Tandoor Recipes to menedżer przepisów, który może być instalowany przez menedżer pakietów Nix. Od wersji 23.05 do 26.05, przy domyślnej konfiguracji (SQLite i domyślny MEDIA_ROOT), plik bazy danych db.sqlite3 jest tworzony w tym samym katalogu co MEDIA_ROOT, przez co może być dostępny zewnętrznie, potencjalnie przez Internet, bez uwierzytelnienia.

W systemie ESPHome, w wersjach od 2025.9.0 do 2025.12.6, występuje przepełnienie całkowitej liczby w dekoderze protobuf komponentu API, co umożliwia ataki typu denial-of-service, gdy szyfrowanie API nie jest używane. Atakujący może wysłać złośliwą wartość `field_length`, co prowadzi do awarii urządzenia.

FreeRDP przed wersją 3.21.0 zawiera podatność w parsowaniu FastGlyph, gdzie długość danych nie jest weryfikowana względem minimalnego rozmiaru wynikającego z wymiarów cx/cy. Złośliwy serwer może wywołać przepełnienie bufora po stronie klienta, prowadząc do awarii (DoS).

OpenProject to oprogramowanie do zarządzania projektami, które ma podatność na przechowywane ataki typu cross-site scripting w widoku Roadmap. Wersje od 16.3.0 do 16.6.4 są narażone na wstrzykiwanie HTML z nazw projektów, co może prowadzić do nieautoryzowanego wykonania skryptów.

Koko Analytics to wtyczka analityczna typu open-source dla WordPressa. Wersje przed 2.1.3 są podatne na wykonanie dowolnych zapytań SQL poprzez nieescapowane eksport/import analityki oraz zbyt luźne zasady importu SQL przez administratora.

Wtyczka @fastify/express zapewnia pełną zgodność z Express, jednak w wersjach przed 4.0.3 występuje podatność, która pozwala na ominięcie zarejestrowanego middleware przy użyciu zakodowanych znaków URL. Atakujący mogą uzyskać dostęp do chronionych punktów końcowych, omijając ograniczenia middleware.

Wtyczka @fastify/middie przed wersją 9.1.0 zawiera podatność, która pozwala na ominięcie zarejestrowanego middleware przy użyciu zakodowanych znaków URL. Atakujący mogą uzyskać dostęp do chronionych punktów końcowych bez ograniczeń narzucanych przez middleware.

W systemie zarządzania katalogiem PHPGurukul w wersji 1.0 wykryto podatność bezpieczeństwa. Nieznana funkcja w pliku /index.php komponentu wyszukiwania jest podatna na atak typu SQL injection, który może być zainicjowany zdalnie.

W WeasyPrint przed wersją 68.0 wykryto obejście ochrony przed SSRF w domyślnym `default_url_fetcher`. Nawet jeśli programista zaimplementował własny `url_fetcher` blokujący dostęp do wewnętrznych zasobów, atakujący może ominąć tę ochronę, ponieważ biblioteka `urllib` automatycznie podąża za przekierowaniami HTTP bez ponownej walidacji nowego celu względem polityki bezpieczeństwa.

Quicly, implementacja protokołu QUIC IETF, jest podatna na atak typu denial-of-service przed commit d9d3df6a8530a102b57d840e39b0311ce5c9e14e. Zdalny atakujący może wykorzystać te błędy do wywołania awarii asercji, co prowadzi do awarii procesu korzystającego z Quicly.

W podatności CVE-2025-11043 występuje niewłaściwa walidacja certyfikatów w kliencie OPC-UA oraz kliencie ANSL korzystającym z TLS w wersjach Automation Studio przed 6.5. Może to umożliwić nieautoryzowanemu atakującemu w sieci przechwytywanie i zakłócanie wymiany danych.

Zidentyfikowano słabość w systemie zamówień online itsourcecode Frozen Foods Ordering System w wersji 1.0. Problem dotyczy nieznanego przetwarzania pliku /order_online.php, co może prowadzić do wstrzykiwania SQL poprzez manipulację argumentem product_name.

W urządzeniu Totolink LR350 w wersji 9.3.5u.6369_B20220309 odkryto podatność na przepełnienie bufora w funkcji setWizardCfg pliku /cgi-bin/cstecgi.cgi. Atak polega na manipulacji argumentem ssid w żądaniu POST, co może zostać wykonane zdalnie. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.

W podatności CVE-2026-1007 występuje nieprawidłowa autoryzacja w komponencie bramy wirtualnej w Devolutions Server, co pozwala atakującym na ominięcie reguł blokujących adresy IP. Problem dotyczy wersji serwera od 2025.3.1 do 2025.3.12.

Podatność w routerze Totolink LR350 w funkcji setWiFiEasyCfg pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem ssid powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność w routerze Totolink LR350 w funkcji setWiFiBasicCfg pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem ssid powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.

Podatność w routerze Totolink LR350 w funkcji setWiFiEasyGuestCfg pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem ssid powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność w Apache Linkis. Przy użyciu silnika JDBC i funkcji źródła danych, jeśli parametr URL skonfigurowany na froncie przeszedł wielokrotne kodowanie URL, może ominąć kontrolę systemu. To może umożliwić nieautoryzowany dostęp do plików systemowych przez parametry JDBC. Dotyczy wersji od 1.3.0 do 1.7.0.