Katalog podatności CVE

W XWiki Platform przed wersjami 17.10.5 i 18.2.0 akcja /skin/ w klasie SkinAction pozwala na rozwiązanie podwójnie zakodowanych segmentów katalogu nadrzędnego poza zamierzonym prefiksem zasobów, gdy Jetty 12 lub nowszy dekoduje ścieżkę żądania. Nieuwierzytelniony zdalny atakujący może odczytać dowolne zasoby dostępne dla procesu Jetty, w tym WEB-INF/xwiki.cfg, a w zależności od konfiguracji także pliki systemowe. Podatność naprawiono w wersjach 17.10.5 i 18.2.0.

W GNU C Library w wersjach od 2.1 do 2.44 wywołanie tdelete na wystarczająco głębokim drzewie może zapisać jeden wskaźnik poza końcem tablicy alokowanej przez alloca na stosie, co może spowodować awarię aplikacji. Implementacja tdelete utrzymuje jawny stos węzłów nadrzędnych do rebalansowania, który jest powiększany w razie potrzeby podczas schodzenia w drzewie; dwie gałęzie rebalansowania dodają wpis bez sprawdzenia pojemności.

W GNU C Library w wersjach od 2.38 do 2.44 wywołanie strfmon lub strfmon_l może zapisać dane poza końcem bufora wyjściowego dostarczonego przez wywołującego, gdy konwersja używa wyrównania do prawej z dopełnianiem szerokości. Wykorzystanie wymaga ścieżki kodu aplikacji wywołującej te funkcje z takim dopełnianiem do bufora wystarczająco dużego dla dopełnienia, ale zbyt małego dla wewnętrznego wywołania memmove. W momencie publikacji nie są znane żadne skutki dla aplikacji dostępnych sieciowo.

W GNU Binutils 2.47 wykryto podatność w funkcji _bfd_elf_write_section_eh_frame w pliku bfd/elf-eh-frame.c, w komponencie Eh Frame Section Handler. Manipulacja argumentami cie_length/fde_length/augmentation_data_size/write_offset prowadzi do przepełnienia bufora. Atak wymaga dostępu lokalnego.

W GNU Binutils 2.47 wykryto podatność w funkcji elf_x86_64_relocate_section w pliku bfd/elf64-x86-64.c, w komponencie ld. Manipulacja argumentem roff prowadzi do przepełnienia bufora. Atak wymaga dostępu lokalnego. Poprawka jest dostępna w wersji 2.48.

W GNU Binutils 2.47 wykryto słabość w funkcji bfd_putl64 w pliku bfd/libbfd.c, w komponencie ld. Manipulacja powoduje dereferencję wskaźnika null. Atak wymaga dostępu lokalnego.

W GNU Binutils 2.47 wykryto błąd bezpieczeństwa w funkcji cache_bwrite w pliku bfd/cache.c, w komponencie ld. Manipulacja argumentem nbytes prowadzi do przepełnienia bufora. Atak wymaga dostępu lokalnego.

W systemie Leave Management System 1.0 firmy itsourcecode wykryto podatność SQL injection w nieznanej funkcji pliku /module/company/index.php. Manipulacja argumentem ID umożliwia zdalne przeprowadzenie ataku. Exploit jest publicznie dostępny i może zostać wykorzystany.

gRPC-Go przed wersjami 1.82.2 i 1.83.2 pozwala serwerom utworzonym przez xds.NewGRPCServer() na przyjęcie RPC bez nagłówka :authority ani Host. Funkcja RouteAndProcess zakłada istnienie wartości authority i indeksuje pusty slice, co powoduje panic poza zakresem i zakończenie całego procesu serwera.

Podatności oznaczone CVE-2026-76443 dotyczą problemów z niewłaściwą neutralizacją, zgrupowanych w filarze CWE-707, i zostały wykryte w ramach wewnętrznego przeglądu bezpieczeństwa Cisco. Dotyczą one Cisco Secure Email Gateway oraz Cisco Secure Email and Web Manager.

Cisco Secure Email Gateway oraz Cisco Secure Email and Web Manager zawierają luki wykryte podczas wewnętrznego przeglądu bezpieczeństwa, związane z niewłaściwą walidacją określonej ilości w danych wejściowych (CWE-1284).

Podatności oznaczone CVE-2026-76441 dotyczą problemów z niewłaściwą kontrolą dostępu, zgrupowanych w filarze CWE-284, i zostały wykryte w ramach wewnętrznego przeglądu bezpieczeństwa Cisco. Dotyczą one Cisco Secure Email Gateway oraz Cisco Secure Email and Web Manager.

Podatności oznaczone CVE-2026-76440 dotyczą problemów z przechodzeniem ścieżek (path traversal), zgrupowanych w filarze CWE-23, i zostały wykryte w ramach wewnętrznego przeglądu bezpieczeństwa Cisco. Dotyczą one Cisco Secure Email Gateway oraz Cisco Secure Email and Web Manager.

Laravel MagicLink w wersjach od 2.0.0 do 2.25.1 przechowuje serializowane obiekty akcji w kolumnie magic_links.action i deserializuje je bez wystarczającej ochrony integralności, z niebezpiecznym fallbackiem unserialize(). Atakujący mogący modyfikować rekordy bazy danych może wstawić złośliwy graf obiektów i po odwiedzeniu linku wykonać dowolny kod.

Argos JavaScript SDK przed wersją 6.2.1 pakietu core pozwala atakującemu kontrolować wartości CI branch lub ref, które są interpolowane do poleceń wykonywanych przez /bin/sh -c. Metaznaki powłoki w nazwie gałęzi pull requesta mogą wykonać dowolne polecenia z uprawnieniami procesu przesyłania Argos.

Alchemy CMS przed wersjami 7.4.15, 8.0.15, 8.1.14 i 8.2.6 udostępnia nieuwierzytelnionemu użytkownikowi endpoint GET /api/pages/nested, który zwraca nieprzefiltrowane drzewo stron bez autoryzacji. Można uzyskać metadane stron zastrzeżonych i nieopublikowanych oraz treści elementów i ingredientów z tych stron.

W webtransport-go przed wersją 0.11.1 funkcja Session.parseNextCapsule() w session.go pomija nieznaną kapsułę WebTransport na strumieniu żądania HTTP/3, wywołując io.ReadAll na czytniku kapsuły i zachowując całe ciało kapsuły w pamięci. Złośliwy peer może wysłać dużą nieznaną kapsułę i spowodować alokację pamięci na pełny ładunek, ponieważ kontrola przepływu QUIC nie ogranicza całkowitej zachowanej alokacji. Prowadzi to do wyczerpania pamięci i zasobów oraz może zakłócić lub zawiesić proces.

W dbt-mcp przed wersją 1.20.0, lokalny asystent OAuth w src/dbt_mcp/oauth/fastapi_app.py udostępnia punkt końcowy GET /dbt_platform_context bez uwierzytelnienia i walidacji hosta. Po zakończeniu przepływu OAuth dbt Platform, punkt końcowy zwraca pełny DbtPlatformContext, w tym access_token i refresh_token, każdemu procesowi, który może dotrzeć do 127.0.0.1:6785. Brak TrustedHostMiddleware pozwala zdalnemu atakującemu na użycie DNS rebinding w przeglądarce ofiary, a proces współdzielony może bezpośrednio żądać punktu końcowego. Skradzione tokeny zapewniają natychmiastowy dostęp do API dbt Platform jako ofiara oraz trwały dostęp przez refresh token, umożliwiając dostęp lub modyfikację projektów, zadań, sekretów środowiskowych i powiązanych danych konta.

gettext-converter przed wersją 1.3.3 w funkcji js2i18next() używa dynamicznych kluczy obiektów bez odrzucania __proto__, constructor i prototype. Podczas konwersji niezaufanych danych tłumaczeń może dojść do zanieczyszczenia prototypu (prototype pollution) w całym procesie.