Katalog podatności CVE

W bibliotece mtrudel bandit występuje luka typu nieskończona pętla w obsłudze danych chunked HTTP/1, gdy obecne są pola trailer. Funkcja do_read_chunked_data!/5 nie obsługuje poprawnie pól trailer dozwolonych przez RFC 9112, co powoduje zablokowanie procesu workera na czas trwania połączenia TCP. Kilka równoczesnych połączeń może wyczerpać pulę workerów i unieruchomić serwer. Problem dotyczy wersji od 1.6.1 przed 1.11.1.

W bibliotece mtrudel bandit występuje luka polegająca na przydzielaniu zasobów bez ograniczeń w obsłudze ciał żądań chunked HTTP/1. Funkcja read_data/2 ignoruje opcję :length, buforując całe ciało żądania bez limitu, co pozwala nieuwierzytelnionemu atakującemu na wyczerpanie pamięci przez pojedyncze żądanie POST z dowolnie dużym ciałem. Problem dotyczy wersji od 1.4.0 przed 1.11.1.

W komponentach ShopOrderImportController.java w qihang-wms występuje podatność na przesyłanie dowolnych plików, co pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie odpowiednio przygotowanego pliku.

Wtyczka Custom Twitter Feeds dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting w wersjach do 2.5.4 włącznie. Problem wynika z niewystarczającego zabezpieczenia wyjścia w funkcji CTF_Display_Elements::get_post_text(), co pozwala na wykonanie złośliwego kodu HTML/JavaScript przez nieautoryzowanych użytkowników.

Wtyczka RTMKit Addons dla Elementora w WordPressie jest podatna na Local File Inclusion we wszystkich wersjach do i włącznie z 2.0.2, poprzez parametr 'path' w akcji AJAX 'get_content'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Autora i wyżej do włączenia i wykonania dowolnych plików PHP na serwerze.

Urządzenia punktu dostępu bezprzewodowego ELECOM zawierają podatność na wstrzyknięcie poleceń systemowych w przetwarzaniu parametru ping_ip_addr. W przypadku przetworzenia spreparowanego żądania wysłanego przez zalogowanego użytkownika, może zostać wykonane dowolne polecenie systemowe.

W bibliotece libcurl, gdy dla żądania HTTP ustawiono niestandardowy nagłówek `Host:`, a następnie wykonano drugie żądanie przy użyciu tego samego uchwytu *easy handle* bez ustawionego niestandardowego nagłówka `Host:`, drugie żądanie korzystało z nieaktualnych informacji i przekazywało ciasteczka przeznaczone dla pierwszego hosta.

libcurl może w niektórych przypadkach ponownie użyć niewłaściwego połączenia dla transferów SMB(S). Z powodu błędu logicznego w kodzie operacja transferu sieciowego może błędnie użyć istniejącego połączenia SMB do tego samego serwera, ale z innym udziałem niż powinien. Może to prowadzić do pobrania niewłaściwego pliku lub przesłania pliku w niewłaściwe miejsce, przy użyciu tych samych poświadczeń i tej samej nazwy serwera.

Wtyczka Avada Builder dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr 'product_order' w wersjach do 3.15.1 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Nowy komponent D-Bus o podwyższonych uprawnieniach, plasmaloginauthhelper, ma kilka problemów, w tym możliwość zmiany właściciela dowolnych plików w systemie przez skompromitowane konto usługi plasmalogin.

Podatność CVE-2024-47091 dotyczy podwyższenia uprawnień w wtyczce agenta mk_mysql na systemie Windows w wersjach Checkmk <2.4.0p29, <2.3.0p47 oraz 2.2.0 (EOL). Umożliwia lokalnemu użytkownikowi bez uprawnień stworzenie usługi Windows o nazwie 'MySQL' lub 'MariaDB', co pozwala na wykonanie dowolnego kodu w kontekście usługi agenta Checkmk, która zazwyczaj działa jako SYSTEM.

Zidentyfikowano podatność w rozszerzeniach Ranchera, która umożliwia wstrzyknięcie złośliwego kodu poprzez przejście ścieżki w polu `compressedEndpoint` w wdrożeniu `UIPlugin`. Złośliwe rozszerzenie UI może wykorzystać tę lukę do nadpisania binariów lub konfiguracji Ranchera.

Wtyczka JoomSport – dla sportów: drużyny i ligi, piłka nożna, hokej i inne dla WordPressa jest podatna na atak typu time-based blind SQL Injection poprzez parametr 'sortf' w wersjach do 5.7.7 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Instalator Bytello Share (edycja Windows) ładował dynamiczne biblioteki linków w sposób niebezpieczny. Jeśli w tym samym katalogu co instalator znajduje się stworzona złośliwa biblioteka DLL, może zostać wykonany dowolny kod z uprawnieniami użytkownika uruchamiającego instalator.

Nieprawidłowy eksport komponentów aplikacji na Androida w OmaCP przed wydaniem SMR May-2026 Release 1 umożliwia lokalnym atakującym wywoływanie uprzywilejowanych funkcji.

Nieprawidłowa walidacja danych wejściowych w funkcji FacAtFunction w Galaxy Watch przed wydaniem SMR maj-2026 Release 1 umożliwia lokalnemu atakującemu wykonanie dowolnego kodu z uprawnieniami systemowymi.

Wtyczka coreActivity: Activity Logging dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do 3.0 włącznie. Problem wynika z braku walidacji lub usuwania składni serializacji PHP z nagłówka User-Agent przed zapisaniem go w tabeli logmeta.

Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.

W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.

Wykorzystanie podatności SQL injection może umożliwić zdalnemu, uwierzytelnionemu atakującemu wykonanie dowolnych poleceń przez określony interfejs, co potencjalnie pozwala na dostęp, modyfikację lub usunięcie wrażliwych informacji w bazie danych.