Katalog podatności CVE

W bibliotece LIBPNG, która służy do obsługi plików graficznych PNG, występuje podatność na nadmierne odczytywanie bufora w stercie w funkcji png_write_image_8bit. Problem ten dotyczy wersji od 1.6.0 do przed 1.6.51 i występuje podczas przetwarzania obrazów 8-bitowych.

Wielokrotne funkcje biblioteki klienckiej PostgreSQL libpq mają problem z przepełnieniem licznika całkowitego, co pozwala na wprowadzenie danych przez aplikację lub partnera sieciowego, prowadząc do niewłaściwego rozmiaru alokacji i zapisu poza przydzieloną pamięcią. To skutkuje błędem segmentacji w aplikacji korzystającej z libpq.

W bibliotece LIBPNG, używanej do obsługi plików graficznych PNG, występuje podatność na odczyt poza zakresem w funkcji png_image_read_composite. Dotyczy to wersji od 1.6.0 do przed 1.6.51, gdy przetwarzane są obrazy paletowe z flagą PNG_FLAG_OPTIMIZ.

W `go-git` zidentyfikowano kilka problemów z odmową usługi związanych z analizowaniem złośliwie skonstruowanych danych repozytoriów Git. Atakujący może stworzyć złośliwe pliki `.pack`, `.idx` lub luźne obiekty, które powodują panikę aplikacji lub nadmierne zużycie zasobów.

Hono to framework aplikacji webowych, który wspiera dowolne środowisko uruchomieniowe JavaScript. W wersjach przed 4.12.4, podczas korzystania z funkcji streamSSE() w Streaming Helper, pola event, id i retry nie były weryfikowane pod kątem znaków powrotu karetki ( ) lub nowej linii ( ).

W jądrze systemu Linux zidentyfikowano podatność w systemie plików f2fs, która dotyczy braku weryfikacji poprawności nagłówka w operacjach odczytu i zapisu. Problem ten może prowadzić do błędów w przypadku uszkodzenia nagłówka strony węzła, co skutkuje awarią systemu.

Wersje Mattermost 11.5.x do 11.5.1, 10.11.x do 10.11.13 oraz 11.4.x do 11.4.3 nie sprawdzają uprawnień do tworzenia postów podczas edycji postów. Umożliwia to uwierzytelnionemu atakującemu, któremu odebrano uprawnienia do publikowania, modyfikację istniejących postów za pomocą bezpośrednich żądań API.

Next.js to framework React do budowania aplikacji webowych typu full-stack. Aplikacje korzystające z App Router w wersjach od 13.4.0 do przed 15.5.16 oraz 16.2.5 mogą być podatne na przechowywane ataki cross-site scripting (XSS) przy użyciu nonce'ów CSP, gdy są wdrażane za pośrednictwem wspólnych pamięci podręcznych.

Problem z kodowaniem substytucyjnym w mod_rewrite w Apache HTTP Server 2.4.59 i wcześniejszych wersjach umożliwia atakującemu wykonywanie skryptów w katalogach dozwolonych przez konfigurację, ale niedostępnych bezpośrednio przez jakikolwiek URL, co może prowadzić do ujawnienia skryptów przeznaczonych do wykonywania jako CGI.

W wersjach przed 7.5.8 i 8.2.0, biblioteka protobufjs mogła rekurencyjnie przetwarzać zagnieżdżone opisy JSON bez ograniczenia głębokości. Może to prowadzić do problemów z wydajnością lub awarii aplikacji przy przetwarzaniu złożonych struktur danych.

protobufjs kompiluje definicje protobuf do funkcji JavaScript. W wersjach przed 7.5.6 i 8.0.2, protobufjs generował akcesory do właściwości JavaScript z nazw pól kontrolowanych przez schemat, jednak niektóre znaki kontrolne w nazwach pól nie były odpowiednio zabezpieczane przed osadzeniem w generowanej funkcji.

Podatność CVE-2025-52968 dotyczy narzędzia xdg-open w xdg-utils w wersji do 1.2.1, które może wysyłać żądania zawierające ciasteczka SameSite=Strict, co może ułatwić ataki CSRF. Istnieje możliwość, że xdg-open zostanie zmodyfikowane, aby domyślnie powiązać x-scheme-handler/https z uruchomieniem przeglądarki z odpowiednimi opcjami wiersza poleceń.

Podatność CVE-2025-66200 dotyczy serwera Apache HTTP i polega na obejściu mechanizmu suexec poprzez lukę w AllowOverride FileInfo. Użytkownicy mający dostęp do dyrektywy RequestHeader w pliku htaccess mogą spowodować, że niektóre skrypty CGI będą uruchamiane pod nieoczekiwanym identyfikatorem użytkownika.

Podatność CVE-2024-42516 dotyczy rozdzielania odpowiedzi HTTP w rdzeniu serwera Apache HTTP. Atakujący, który może manipulować nagłówkami odpowiedzi Content-Type aplikacji hostowanych lub proxy przez serwer, może rozdzielić odpowiedź HTTP.

Podatność CVE-2026-1527 pozwala atakującemu na wstrzyknięcie sekwencji CRLF ( ) poprzez kontrolowany przez użytkownika input w opcji upgrade metody client.request(). Może to prowadzić do wstrzykiwania dowolnych nagłówków HTTP oraz przedwczesnego zakończenia żądania HTTP, co umożliwia przesyłanie surowych danych do usług nie-HTTP, takich jak Redis, Memcached czy Elasticsearch.

Undici pozwala na duplikowanie nagłówków HTTP Content-Length, gdy są one podawane w tablicy z nazwami o różnych wielkościach liter (np. Content-Length i content-length). To prowadzi do nieprawidłowych żądań HTTP/1.1 z wieloma sprzecznymi wartościami Content-Length.

W niektórych konfiguracjach mod_ssl na serwerze Apache HTTP w wersjach do 2.4.63, atak desynchronizacji HTTP umożliwia atakującemu typu man-in-the-middle przejęcie sesji HTTP poprzez aktualizację TLS. Dotyczy to tylko konfiguracji używających 'SSLEngine optional' do włączenia aktualizacji TLS.

W jądrze Linuxa rozwiązano podatność polegającą na błędnym zastosowaniu commit'u dotyczącego sprawdzania, czy ASPM jest włączone w subsystemie PCIe. Powodowało to trudne do zdiagnozowania awarie w systemach z dwoma kartami graficznymi AMD, z których tylko jedna obsługiwała ASPM.

W jądrze Linuxa naprawiono podatność związaną z IB/mthca, polegającą na braku wywołania funkcji mthca_unmap_user_db() w mthca_create_srq(). Problem ten prowadził do wycieku pamięci w przypadku niepowodzenia wywołania systemowego.

OpenSSH w wersjach do 8.7 pozwala zdalnym atakującym na sprawdzenie, czy określona kombinacja nazwy użytkownika i klucza publicznego jest znana serwerowi SSH. Dzieje się tak, ponieważ wyzwanie jest wysyłane tylko wtedy, gdy ta kombinacja może być ważna dla sesji logowania.