Katalog podatności CVE

Podatność CVE-2026-42602 dotyczy rozszerzenia Azure Authenticator, które w wersjach od 0.124.0 do 0.150.0 ma lukę w autoryzacji po stronie serwera. Umożliwia to każdej osobie posiadającej ważny token dostępu Azure autoryzację do dowolnego odbiornika OpenTelemetry, który używa autoryzacji 'azure_auth'.

Python-Multipart przed wersją 0.0.27 nie ograniczał liczby ani rozmiaru nagłówków części multipart/form-data. Atakujący może wysłać żądanie z wieloma powtarzającymi się nagłówkami lub pojedynczym bardzo dużym nagłówkiem, powodując nadmierne obciążenie CPU i odmowę usługi.

Moduł twisted.names w Twisted, przed wersją 26.4.0rc2, jest podatny na atak typu Denial of Service (DoS) poprzez wyczerpanie zasobów podczas dekompresji nazw DNS. Atakujący może wykorzystać tę podatność, wysyłając spreparowany pakiet TCP DNS z głęboko zagnieżdżonymi wskaźnikami kompresji.

W CubeCart przed wersją 6.6.0 zidentyfikowano podatności na uwierzytelnioną, czasową, ślepą injekcję SQL w parametrach sortowania (sort[price], sort_activity, sort_admin, sort_customer) w punktach końcowych produktów i logów. Umożliwia to atakującemu wykonanie dowolnych poleceń SQL, co zagraża poufności i integralności bazy danych.

Strona raportowania HCL BigFix SCM zawiera przestarzałą i nieobsługiwaną wersję biblioteki jQuery 1.x. Brak aktualizacji zabezpieczeń dla tej wersji może narażać aplikację na znane publicznie słabości bezpieczeństwa.

Lokalnie serwisowana strona internetowa na urządzeniach Garmin WDU (w wersjach 1.4.6 i 2.5.0) pozwala na ominięcie mechanizmów uwierzytelniania. Strona WDU wykonuje uwierzytelnienie tylko w przeglądarce klienta, a WebSockety używane do komunikacji z serwerem WDU nie egzekwują żadnego uwierzytelnienia.

Lokalnie serwisowana strona internetowa na urządzeniach Garmin WDU (w wersjach 1.4.6 i 2.5.0) jest podatna na atak symlink. Umożliwia to atakującemu przesłanie złośliwego pakietu graficznego zawierającego symlinki, które serwer WWW śledzi podczas serwowania treści.

Framework Flight dla PHP przed wersją 3.18.1 ma podatność, w której domyślny handler błędów Engine::_error() ujawnia pełne informacje o wyjątkach w odpowiedzi HTTP 500, w tym absolutne ścieżki systemu plików.

Framework Flight dla PHP przed wersją 3.18.1 ma podatność, która pozwala na niekontrolowane honorowanie nagłówka X-HTTP-Method-Override oraz parametru $_REQUEST['_method'] dla dowolnych metod HTTP, w tym bezpiecznych, takich jak GET. To może prowadzić do eskalacji CSRF oraz obejścia zabezpieczeń opartych na niebezpiecznych metodach.

W wersjach przed 3.18.1 frameworka Flight, metody SimplePdo::insert(), SimplePdo::update() i SimplePdo::delete() budują zapytania SQL poprzez bezpośrednie łączenie argumentu $table oraz kluczy tablicy $data, bez odpowiedniego cytowania identyfikatorów i walidacji. To umożliwia atakującym wstrzykiwanie dowolnego SQL poprzez manipulację kluczami tablicy.

Flight to rozszerzalny mikroframework dla PHP. W wersjach przed 3.18.1 metoda Flight::jsonp() łączy parametr zapytania ?jsonp= bez walidacji, co pozwala na wstrzyknięcie dowolnego kodu JavaScript, który zostanie wykonany w kontekście odpowiedzi.

Edytor może nadpisać pulpit nawigacyjny, który nie jest jego własnością, aby uzyskać uprawnienia administratora do tego konkretnego pulpitu. Użytkownik musi mieć dostęp do zapisu, aby podnieść swoje uprawnienia.

Podatność dotyczy funkcji Auth Proxy, która domyślnie używa adresów IPv6 z maską /32. Adresy z explicite określoną maską nie są dotknięte tą podatnością.

W bibliotece cowboy (ninenines) od wersji 2.0.0 do przed 2.15.0 funkcja `cowboy_req:read_part/3` gromadzi bajty żądania w buforze bez górnego limitu, gdy parsowanie nagłówków multipart zwraca `more`. Nieuwierzytelniony atakujący może wysłać żądanie multipart/form-data bez kompletnego nagłówka, powodując liniowy wzrost zużycia pamięci i wyczerpanie pamięci BEAM.

Podatność CVE-2026-43970 dotyczy niewłaściwego przetwarzania silnie skompresowanych danych w bibliotece cowlib, co może prowadzić do zdalnego ataku typu denial of service poprzez wyczerpanie pamięci. Umożliwia to nieautoryzowanym użytkownikom wysyłanie odpowiednio skonstruowanych ramek SPDY, które mogą spowodować znaczny wzrost zużycia pamięci.

Podatność w Netty (przed 4.2.13.Final i 4.1.133.Final) w HttpContentDecompressor. Parametr maxAllocation ograniczający rozmiar bufora dekompresji jest poprawnie egzekwowany dla kodowania gzip i deflate, ale jest ignorowany dla br (Brotli), zstd i snappy. Atakujący może ominąć ograniczenie dekompresji, wysyłając skompresowany ładunek z Content-Encoding: br zamiast gzip, co prowadzi do nieograniczonej alokacji pamięci i odmowy usługi (DoS) z powodu braku pamięci. Ta sama podatność istnieje w DelegatingDecompressorFrameListener dla połączeń HTTP/2.

W bibliotece Netty wykryto podatność w komponencie HttpClientCodec, która powoduje nieprawidłowe parowanie odpowiedzi HTTP z żądaniami w przypadku użycia potokowania (pipelining) z żądaniami GET i HEAD. Gdy serwer zwraca odpowiedzi 103 i 200, kolejka paruje odpowiedź HEAD z pierwszą odpowiedzią 200, co prowadzi do błędnego odczytu danych i przesunięcia strumienia.

Netty przed wersjami 4.2.13.Final i 4.1.133.Final ma podatność w Lz4FrameDecoder, który alokuje ByteBuf o rozmiarze decompressedLength, co może prowadzić do niekontrolowanego przydziału pamięci. Atakujący może wykorzystać 21-bajtowy nagłówek oraz skompresowane dane, aby wymusić tę alokację.

W bibliotece Netty przed wersją 4.2.13.Final w dekoderze QpackDecoder podczas przetwarzania nagłówków HTTP/3 występuje podatność polegająca na braku weryfikacji długości literału przed alokacją pamięci. Atakujący może przesłać spreparowane ramki, które powodują alokację ogromnych buforów, co prowadzi do wyczerpania pamięci (Denial of Service).

Netty, asynchroniczny framework sieciowy, zawiera podatność w kodzie DNS, która nie egzekwuje ograniczeń nazw domenowych zgodnych z RFC 1035. Problem występuje zarówno podczas kodowania, jak i dekodowania, co umożliwia atak dwukierunkowy: złośliwe odpowiedzi DNS mogą wykorzystać dekoder, a nazwy hostów kontrolowane przez użytkownika mogą wykorzystać enkoder.