Katalog podatności CVE

W podatnych wersjach MISP nie następuje autoryzacja przesłanego sharing group w określonej ścieżce edycji zdarzenia. Logika sprawdzała uprawnienia do sharing_group_id tylko wtedy, gdy żądanie jawnie podawało distribution = 4; pominięcie distribution przy jednoczesnym podaniu innego sharing_group_id omijało tę kontrolę, a logika odzyskiwania pól przywracała istniejącą dystrybucję zdarzenia. Poprawka dodaje sprawdzenia autoryzacji w kontrolerze i Event::_edit(). Wersje podatne: ≤2.5.45.

W GNU Binutils 2.47 wykryto podatność w funkcji elf_x86_allocate_dynrelocs w pliku bfd/elfxx-x86.c, prowadzącą do wyłuskania wskaźnika null. Atak wymaga dostępu lokalnego, a exploit jest publiczny.

W GNU Binutils 2.47 wykryto podatność w funkcji elf_x86_64_common_section_index w pliku bfd/elf64-x86-64.c, prowadzącą do wyłuskania wskaźnika null. Atak wymaga dostępu lokalnego, a exploit jest publiczny.

W GNU Binutils 2.47 wykryto podatność w funkcji elf_link_add_object_symbols w pliku bfd/elflink.c, prowadzącą do wyłuskania wskaźnika null. Atak wymaga dostępu lokalnego, a exploit jest publiczny.

W GNU Binutils 2.47 wykryto podatność w funkcji _bfd_elf_eh_frame_section_offset w pliku bfd/elf-eh-frame.c, prowadzącą do wyłuskania wskaźnika null. Atak wymaga dostępu lokalnego, a exploit jest publiczny.

CVE-2026-87730 zostało odrzucone — nie jest uznawane za ważną podatność. Brak dostępnych szczegółów technicznych, ponieważ zgłoszenie zostało anulowane.

W produktach FF-RFI079I4 i FF-RFI078I4 istnieje problem ukrytej funkcjonalności, który może pozwolić użytkownikowi mogącemu zalogować się przez SSH i uzyskać dostęp do trybu enable na wykonanie dowolnych poleceń systemu operacyjnego. Wymaga to zalogowania przez SSH i dostępu do trybu enable.

W produktach FF-RFI079I4 i FF-RFI078I4 istnieje problem nieprawidłowej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego (wstrzykiwanie poleceń OS). Użytkownik mogący zalogować się do M-Plane (NETCONF) produktu może wykonać dowolne polecenia systemu operacyjnego.

W Duplicati dla Windows w wersjach przed v2.4.0.0 występuje nieprawidłowe przypisanie uprawnień do krytycznego zasobu w loaderze konfiguracji. Lokalny atakujący z niskimi uprawnieniami może podnieść uprawnienia do NT AUTHORITY\SYSTEM poprzez plik preload.json kontrolowany przez atakującego.

W aktorze scan_mysql pakietu leapp-upgrade-el9toel10 (dostarczanego przez leapp-repository) występuje luka pozwalająca na podniesienie uprawnień. Podczas aktualizacji RHEL 9 do RHEL 10 aktor uruchamia mysqld --validate-config --log-error-verbosity=2 bezpośrednio jako root, omijając jednostkę systemd MySQL, która normalnie uruchamia demona jako User=mysql. Proces przejęty jako tożsamość mysql może zapisać trwałą konfigurację (mysqld-auto.cnf) i złośliwą bibliotekę współdzieloną w /var/lib/mysql, ustawiając plugin_dir i early_plugin_load, aby MySQL załadował kontrolowany obiekt podczas walidacji konfiguracji. Gdy administrator uruchomi przepływ preupgrade lub upgrade Leapp, kod atakującego może wykonać się jako UID 0 z pełnym zestawem uprawnień w domenie SELinux unconfined_t.

Podatność w MISP wynika z polegania na przetwarzaniu nadpisań metod żądań w CakePHP, co może wyłączyć walidację CSRF i zabezpieczeń formularzy. CakePHP honoruje pole _method lub nagłówek X-HTTP-Method-Override, zmieniając efektywną metodę żądania. Dla wartości spoza standardowych czasowników (POST, PUT, PATCH, DELETE) CakePHP czyści treść żądania, przez co MISP pomija walidację _validatePost() i _validateCsrf(). Atakujący może wysłać formularz z _method=GET, aby ominąć zabezpieczenia.

W dotkniętych wersjach Octopus Server użytkownicy z określonymi zestawami uprawnień mogli wykonywać dowolne skrypty na workerze, w tym na wbudowanym workerze Octopus Server. Nieprawidłowa walidacja uprawnień podczas wykonywania skryptu pozwalała na jego uruchomienie bez wymaganej autoryzacji.

Podatność w GPAC do wersji f1219cde dotyczy funkcji gf_node_list_insert_child w pliku scenegraph/base_scenegraph.c, co prowadzi do uszkodzenia pamięci. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Zalecana jest aktualizacja do wersji abi-16.23, która zawiera poprawkę.

W GPAC do wersji f1219cde wykryto podatność w funkcji gf_node_activate_ex w pliku scenegraph/base_scenegraph.c, prowadzącą do przepełnienia bufora na stosie. Atak wymaga dostępu lokalnego, a exploit jest publiczny.

Podatność w GPAC do wersji f1219cde dotyczy funkcji gf_node_get_name_and_id w pliku scenegraph/base_scenegraph.c, co prowadzi do użycia po zwolnieniu (use-after-free). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Zalecana jest aktualizacja do wersji abi-16.23.

Podatność w GPAC do wersji f1219cde dotyczy funkcji gf_url_concatenate_ex w pliku utils/url.c, co prowadzi do przepełnienia bufora na stercie. Atak musi być przeprowadzony lokalnie. Zalecana jest aktualizacja do wersji abi-16.23, która zawiera poprawkę.

W GPAC do wersji f1219cde wykryto błąd w funkcji gf_mo_get_od_id w pliku compositor/media_object.c komponentu Compositor. Manipulacja może prowadzić do użycia po zwolnieniu (use-after-free). Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Aktualizacja do wersji abi-16.24 rozwiązuje problem.

W bibliotece GPAC wykryto podatność przepełnienia bufora w stercie w funkcji mpgviddmx_process w pliku filters/reframe_mpgvid.c komponentu MPEG Video Reframer. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny. Problem naprawiono w wersji abi-16.23.

W SourceCodester Online Faculty Clearance System 1.0 wykryto podatność w funkcji move_uploaded_file w pliku production/edit_picture.php komponentu Profile Picture Upload. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

proxy-addr to moduł Node.js określający adres klienta za zaufanymi odwrotnymi proxy, używany przez Express req.ip i req.ips. W wersjach 1.1.0 do 2.0.7 podsieć zaufania zapisana w notacji IPv4-mapped IPv6 z prefiksem rozmiaru IPv4, np. ::ffff:10.0.0.0/8 zamiast ::ffff:10.0.0.0/104, jest akceptowana bez błędu, ale ufa wszystkim adresom IPv4 w internecie. Ponieważ socket peer staje się zaufany na hop 0, każdy nieuwierzytelniony klient może dostarczyć dowolny nagłówek X-Forwarded-For i kontrolować adres odczytywany przez aplikację.