Katalog podatności CVE

CEWE Photoshow w wersji 6.3.4 zawiera podatność na przepełnienie bufora w oknie logowania, która pozwala atakującym na awarię aplikacji poprzez przesłanie zbyt dużych danych. Atakujący mogą wprowadzić 4000 bajtów danych w polach adresu e-mail i hasła, co prowadzi do stanu odmowy usługi.

iSmartViewPro w wersji 1.5 zawiera podatność na przepełnienie bufora w obsłudze wyjątków (SEH) w polu 'Ścieżka zapisu dla zrzutów i plików nagrań'. Umożliwia to lokalnym atakującym wykonanie dowolnego kodu poprzez wprowadzenie odpowiednio skonstruowanego ładunku przekraczającego 260 bajtów.

Oprogramowanie Faleemi Desktop w wersji 1.8.2 zawiera lokalną podatność na przepełnienie bufora w polu aliasu urządzenia, co pozwala lokalnym atakującym na nadpisanie strukturalnego obsługiwacza wyjątków (SEH). Atakujący mogą stworzyć złośliwy ładunek i wkleić go w polu aliasu urządzenia w interfejsie zarządzania dziennikiem, co umożliwia wykonanie dowolnego kodu.

W przeglądarkach Firefox ESR 140.9, Firefox 149 oraz klientach poczty Thunderbird ESR 140.9 i Thunderbird 149 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich prowadziły do uszkodzenia pamięci, co przy odpowiednim nakładzie pracy mogło umożliwić zdalne wykonanie dowolnego kodu.

W przeglądarkach Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird ESR 140.9, Firefox 149 i Thunderbird 149 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich prowadziły do uszkodzenia pamięci, co mogło umożliwić zdalne wykonanie dowolnego kodu. Luki zostały załatane w Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150 i Thunderbird 140.10.

Wykryto podatność bezpieczeństwa w tufantunc ssh-mcp do wersji 1.5.0. Problem dotyczy funkcji shell.write w pliku src/index.ts, gdzie manipulacja argumentem Description prowadzi do wstrzyknięcia poleceń.

Zidentyfikowano podatność w urządzeniu Tenda i9 w wersji 1.0.0.5(2204), która dotyczy funkcji R7WebsSecurityHandler w komponencie HTTP Handler. Manipulacja tą funkcją prowadzi do ataku typu path traversal, co umożliwia zdalne wykorzystanie podatności.

W podatności CVE-2026-7035 zidentyfikowano problem w urządzeniu Tenda FH1202 w wersji 1.2.0.14, dotyczący funkcji fromWrlclientSet w pliku /goform/WrlclientSet. Manipulacja argumentem Go może prowadzić do przepełnienia bufora na stosie.

W urządzeniu Tenda FH1202 w wersji 1.2.0.14(408) odkryto podatność w funkcji WrlExtraSet pliku /goform/WrlExtraSet, która prowadzi do przepełnienia bufora na stosie. Atakujący może zdalnie wykorzystać tę lukę.

W urządzeniu Tenda F456 w wersji 1.0.0.5 zidentyfikowano podatność w funkcji fromSafeClientFilter w pliku /goform/SafeClientFilter. Manipulacja argumentem menufacturer/Go prowadzi do przepełnienia bufora, co może być wykorzystane przez atakującego zdalnie.

W urządzeniu Tenda F456 w wersji 1.0.0.5 znaleziono lukę, która dotyczy funkcji SafeEmailFilter w pliku /goform/SafeEmailFilter. Manipulacja argumentem page prowadzi do przepełnienia bufora, co może być wykorzystane przez zdalnego atakującego.

Wykryto podatność w urządzeniu Tenda F456 w wersji 1.0.0.5, która dotyczy funkcji fromSafeMacFilter w pliku /goform/SafeMacFilter. Manipulacja argumentem page prowadzi do przepełnienia bufora, co umożliwia zdalne przeprowadzenie ataku.

W urządzeniu Tenda F456 w wersji 1.0.0.5 wykryto podatność bezpieczeństwa, która dotyczy funkcji fromRouteStatic w pliku /goform/RouteStatic. Manipulacja argumentem page prowadzi do przepełnienia bufora, co umożliwia zdalne przeprowadzenie ataku.

Zidentyfikowano słabość w urządzeniu Tenda F456 w wersji 1.0.0.5. Problem dotyczy funkcji fromaddressNat w pliku /goform/addressNat, gdzie manipulacja argumentem menufacturer/Go może prowadzić do przepełnienia bufora.

Podatność w Typecho do wersji 1.3.0 w funkcji Service::sendPingHandle pliku var/Widget/Service.php komponentu Ping Back Service Endpoint pozwala na serwerowe fałszowanie żądań (SSRF) poprzez manipulację argumentem X-Pingback/link. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Problem naprawiono w wersji 1.3.1-rc (commit 96ccfdda4fc1e66ca04a003bf0c71d25864e6a0b).

W SmythOS w wersjach do 0.0.15 wykryto podatność bezpieczeństwa w funkcji AgentRuntime. Manipulacja argumentami X-DEBUG-RUN/X-DEBUG-INJ prowadzi do niewłaściwej autoryzacji, co umożliwia zdalne przeprowadzenie ataku.

Zidentyfikowano podatność w urządzeniu Tenda F456 w wersji 1.0.0.5, która dotyczy funkcji fromP2pListFilter w pliku /goform/P2pListFilter. Manipulacja argumentem menufacturer/Go prowadzi do przepełnienia bufora.

Serwer DNS Technitium przed wersją 15.0 umożliwia amplifikację ruchu DNS poprzez cykliczną delegację serwera nazw. Taka podatność może prowadzić do zwiększonego obciążenia sieci i ataków DDoS.

W podatności CVE-2026-7002 zidentyfikowano lukę w KLiK SocialMediaWebsite do wersji 1.0.1, która dotyczy nieznanego kodu w pliku /includes/get_message_ajax.php komponentu Private Message Handler. Manipulacja argumentem c_id może prowadzić do wstrzyknięcia SQL.

Zidentyfikowano podatność w Linksys MR9600 w wersji 2.0.6.206937, która dotyczy funkcji BTRequestGetSmartConnectStatus w pliku /etc/init.d/run_central2.sh komponentu JNAP Action Handler. Manipulacja argumentem pin prowadzi do wstrzyknięcia poleceń systemowych.