Katalog podatności CVE

W jądrze Linux w podsystemie xfrm/IPsec stany fallback (ipcomp) nie są usuwane z list i tablic haszujących, gdy ostatni stan użytkownika jest usuwany, ale dopiero gdy znika ostatnie odwołanie. Może to prowadzić do ostrzeżenia WARN w xfrm_state_fini i potencjalnego wycieku pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która pozwala na błędne zidentyfikowanie stanu gniazdka w kontekście zbierania śmieci. Problem wynika z braku inicjalizacji indeksu SCC w funkcji unix_add_edge(), co prowadzi do nieprawidłowego grupowania gniazd w cyklicznych referencjach.

Wtyczka Omnichannel for WooCommerce: Integracja z Google, Amazon, eBay i Walmart – Powered by Codisto dla WordPress jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez funkcję sync() we wszystkich wersjach do 1.3.65 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Rhino, otwartoźródłowa implementacja JavaScript w Javie, przed wersjami 1.8.1, 1.7.15.1 i 1.7.14.1, miała podatność, która pozwalała na przekazanie kontrolowanej przez atakującego liczby zmiennoprzecinkowej do funkcji toFixed(). Może to prowadzić do wysokiego zużycia CPU i potencjalnego ataku typu Denial of Service.

Podatność w Coderze pozwalała na logowanie manifestów agenta Workspace zawierających wrażliwe dane w postaci nieprzetworzonego tekstu przed wersjami 2.26.5, 2.27.7 i 2.28.4. Osoba atakująca z ograniczonym dostępem lokalnym do Workspace lub z systemu zewnętrznego mogła uzyskać dostęp do tych logów.

RomM (Menadżer ROM-ów) zawiera wiele nieograniczonych podatności na przesyłanie plików, które pozwalają uwierzytelnionym użytkownikom na przesyłanie złośliwych plików SVG lub HTML. Po uzyskaniu dostępu do tych plików, przeglądarka wykonuje osadzony JavaScript, co prowadzi do przechowywanego ataku Cross-Site Scripting (XSS).

W Qt Quick, w komponencie Text, brak walidacji szerokości i wysokości w tagu <img> może spowodować nadmierne alokowanie zasobów i zawieszenie aplikacji. Problem dotyczy Qt od wersji 5.0.0 do 6.10.0.

W Undertow wykryto usterkę, która może powodować zdalne ataki typu odmowa usługi (DoS). Gdy serwer używa metody FormEncodedDataDefinition.doParse(StreamSourceChannel) do parsowania dużych danych zakodowanych jako application/x-www-form-urlencoded, metoda powoduje wyczerpanie pamięci (OutOfMemory).

WebPros Plesk w wersjach przed 18.0.73.5 oraz 18.0.74 przed 18.0.74.2 na systemie Linux umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu jako root poprzez tworzenie domen. Atakujący musi mieć uprawnienia do 'Tworzenia i zarządzania witrynami' oraz 'Zarządzania domenami' i 'Zarządzania subdomenami'.

GZDoom to port gier opartych na silniku Doom, który w wersjach 4.14.2 i wcześniejszych ma lukę w obsłudze stanów aktorów ZScript. Luka ta pozwala na odczyt dowolnych adresów, zapis stałych w sekcji kodu JIT oraz przekierowanie przepływu kontroli poprzez odpowiednio skonstruowane struktury FState i VMFunction, co prowadzi do wykonania kodu kontrolowanego przez atakującego.

W oprogramowaniu AVTECH SECURITY Corporation DGM1104 (wersja FullImg-1015-1004-1006-1003) wykryto uwierzytelnioną podatność na wstrzykiwanie komend w funkcji serwera SMB. Luka ta umożliwia atakującym wykonanie dowolnych poleceń systemowych poprzez spreparowane dane wejściowe.

W oprogramowaniu AVTECH SECURITY Corporation DGM1104 (wersja FullImg-1015-1004-1006-1003) wykryto uwierzytelnioną podatność na wstrzykiwanie poleceń w pliku binarnym NetFailDetectD. Podatność ta umożliwia atakującym wykonanie dowolnych poleceń systemowych poprzez spreparowane dane wejściowe.

W urządzeniu AVTECH DGM1104 z oprogramowaniem FullImg-1015-1004-1006-1003 wykryto podatność na wstrzykiwanie poleceń w uwierzytelnionym punkcie końcowym Machine.cgi. Luka umożliwia atakującemu wykonanie dowolnych poleceń systemowych poprzez spreparowane dane wejściowe.

Usługa GC-AGENTS-SERVICE, będąca częścią platformy Guardicore Agent dla systemu Windows w wersjach przed v49.20.1, v50.15.0, v51.12.0, v52.2.0, jest podatna na lokalną eskalację uprawnień. Usługa próbuje odczytać plik konfiguracyjny OpenSSL z nieistniejącej lokalizacji, do której standardowi użytkownicy Windows mają domyślne uprawnienia do zapisu.

W WebKitGTK wykryto podatność umożliwiającą zdalne ujawnienie informacji. Luka polega na braku weryfikacji źródła operacji przeciągania i upuszczania plików, co pozwala atakującemu na odczyt dowolnych plików, do których użytkownik ma dostęp.

Wykryto lukę w obsłudze informacji o montażu dostarczonych przez użytkownika przez demona ABRT. Demon ABRT kopiuje do 12 znaków z niezweryfikowanego wejścia i umieszcza je bezpośrednio w poleceniu powłoki, co pozwala na wstrzyknięcie metaznaków powłoki przez lokalnego użytkownika bez uprawnień.

Rozszerzenie Aimeos GrapesJS CMS umożliwia edytowanie stron do tworzenia treści na podstawie rozszerzalnych komponentów. Przed wersjami 2021.10.8, 2022.10.8, 2023.10.8, 2024.10.8 i 2025.10.8, złośliwi edytorzy mogli wstrzykiwać kod Javascript, co prowadziło do ataku XSS typu stored, jeśli standardowa polityka bezpieczeństwa treści była wyłączona.

SDK Pythona MCP, znany jako `mcp` na PyPI, przed wersją 1.23.0 nie włączał domyślnie ochrony przed DNS rebinding dla serwerów opartych na HTTP. Gdy serwer MCP działa na localhost bez uwierzytelnienia, z wykorzystaniem FastMCP i transportu HTTP lub SSE, złośliwa strona może wykorzystać DNS rebinding do ominięcia ograniczeń polityki same-origin i wysyłać żądania do lokalnego serwera MCP.

SDK TypeScript dla Model Context Protocol (MCP) przed wersją 1.24.0 nie włącza domyślnie ochrony przed DNS rebinding dla serwerów opartych na HTTP. W przypadku uruchomienia serwera MCP na localhost bez uwierzytelnienia, złośliwa strona może wykorzystać DNS rebinding do ominięcia ograniczeń polityki samego pochodzenia i wysyłać żądania do lokalnego serwera MCP.

Entrust nShield Connect XC, nShield 5c i nShield HSMi do wersji 13.6.11 lub 13.7 (poprawione w 13.6.12 (LTS) i 13.9.0 (STS)) pozwalają fizycznie bliskiemu atakującemu z podwyższonymi uprawnieniami na fałszowanie zdarzeń naruszenia (tamper events) poprzez dostęp do wewnętrznych komponentów.