Katalog podatności CVE

W jądrze systemu Linux zidentyfikowano podatność związaną z zarządzaniem kredytami odbioru w protokole SMB. Problem polega na wyścigu w logice liczenia kredytów, co może prowadzić do przyznawania nieistniejących kredytów.

W OVN (Open Virtual Network) odkryto podatność polegającą na odczycie poza zakresem pamięci. Zdalny atakujący może wysłać spreparowane pakiety DHCPv6 SOLICIT z zawyżoną długością identyfikatora klienta, powodując odczyt poza granicami pakietu przez ovn-controller.

Serwer P4 przed wersją 2026.1 jest skonfigurowany z niebezpiecznymi ustawieniami domyślnymi, które w przypadku wystawienia na niezaufane sieci pozwalają nieuwierzytelnionym atakującym na tworzenie dowolnych kont użytkowników, enumerację istniejących użytkowników, uwierzytelnianie na kontach bez hasła oraz dostęp do zawartości repozytorium przez wbudowanego użytkownika 'remote'. Te ustawienia mogą prowadzić do nieautoryzowanego dostępu do repozytoriów kodu źródłowego i innych zarządzanych zasobów.

Podatność związana z nieprawidłową autoryzacją w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom z uprawnieniami logowania do systemu na korzystanie z tenantów, które nie są zdefiniowane na platformie podczas wykonywania workflow. Problem dotyczy wersji Apache DolphinScheduler przed 3.4.1.

Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu wstrzyknięcie złośliwej konfiguracji poprzez panel administracyjny. Atakujący może utworzyć nazwę brokera zawierającą złośliwe wiązanie xbean, które po aktywacji przez VM transport prowadzi do zdalnego załadowania pliku Spring XML. Wykorzystanie tej luki pozwala na wykonanie dowolnego kodu na maszynie JVM brokera.

Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu ominięcie poprawki z CVE-2026-34197 poprzez dodanie konektora z wykorzystaniem transportu HTTP Discovery. Atakujący może użyć złośliwego punktu końcowego HTTP, który zwraca transport VM, co pozwala na załadowanie zdalnego kontekstu aplikacji Spring XML i wykonanie dowolnego kodu na JVM brokera.

Klient posiadający tylko token JWT z zakresem odczytu może zarejestrować się jako dostawca sygnałów przez produkcyjne API kuksa.val.v2 OpenProviderStream, wysyłając żądanie ProvideSignalRequest. Atakujący może następnie odpowiadać na żądania GetProviderValueRequest sfałszowanymi danymi, co powoduje, że inni klienci otrzymują zmanipulowane wartości sygnałów.

Zapytania Tempo z dużymi limitami mogą powodować duże alokacje pamięci, co wpływa na dostępność usługi w zależności od strategii wdrożenia. Można złagodzić problem poprzez ustawienie max_result_limit w konfiguracji wyszukiwania, np. na 262144 (2^18). Alternatywnie, automatycznie restartować usługę.

Wtyczka Drag and Drop File Upload dla formularza kontaktowego 7 w WordPressie jest podatna na nieautoryzowane przesyłanie plików w wersjach do 1.1.3 włącznie. Problem wynika z tego, że wtyczka wyodrębnia rozszerzenie pliku przed jego sanitizacją, co pozwala atakującemu kontrolować parametr typu pliku.

Adapter USB Wi-Fi DWM-222W opracowany przez D-Link ma lukę w zabezpieczeniach, która pozwala na ominięcie ochrony przed atakami typu brute-force. Umożliwia to nieautoryzowanym atakującym z sąsiedniej sieci przeprowadzenie ataków brute-force w celu uzyskania kontroli nad urządzeniem.

Kyverno to silnik polityk zaprojektowany dla zespołów inżynieryjnych platform chmurowych. W wersjach przed 1.17.2 i 1.16.4, niekontrolowane przypisanie typu w obsłudze mutacji `forEach` pozwala użytkownikom z uprawnieniami do tworzenia `Policy` lub `ClusterPolicy` na spowodowanie awarii kontrolera w tle, co prowadzi do trwałego stanu CrashLoopBackOff.

basic-ftp to klient FTP dla Node.js. Wersje przed 5.3.0 są podatne na atak typu denial of service z powodu nieograniczonego wzrostu pamięci podczas przetwarzania list katalogów z zdalnego serwera FTP.

Kyverno to silnik polityk zaprojektowany dla zespołów inżynieryjnych platform chmurowych. W wersjach przed 1.18.0-rc1, 1.17.2-rc1 i 1.16.4 funkcja apiCall w ClusterPolicy automatycznie dołączała token ServiceAccount kontrolera przyjęć do wychodzących żądań HTTP, co stwarzało ryzyko.

Kyverno, silnik polityk dla zespołów inżynieryjnych platform chmurowych, ma lukę w kontekście ładowania ConfigMap, która pozwala na eskalację uprawnień między przestrzeniami nazw. Pole `configMap.namespace` akceptuje dowolną przestrzeń nazw bez walidacji, co umożliwia administratorowi przestrzeni nazw odczyt ConfigMap z dowolnej przestrzeni nazw przy użyciu uprzywilejowanego konta serwisowego Kyverno.

Aplikacja Press, będąca niestandardową aplikacją Frappe działającą w Frappe Cloud, jest podatna na ataki przypominające CSRF w metodzie `press.api.account.create_api_secret`. Punkt końcowy tej metody zapisuje dane do bazy danych i jest dostępny również za pomocą metody GET.

Podatność w bibliotece ERB dla Ruby umożliwia ominięcie zabezpieczenia przed deserializacją. Mimo że w metodach `ERB#result` i `ERB#run` dodano ochronę przed wykonaniem kodu po odtworzeniu obiektu przez `Marshal.load`, trzy inne publiczne metody (`def_method`, `def_module`, `def_class`) nie zostały zabezpieczone. Atakujący może wykorzystać `ERB#def_module` do wykonania dowolnego kodu.

Open Source Social Network (OSSN) w wersjach przed 9.0 jest podatny na wyczerpanie zasobów. Atakujący może przesłać specjalnie przygotowany obraz o ekstremalnych wymiarach pikseli, co prowadzi do stanu Denial of Service (DoS) podczas procesu dekompresji i zmiany rozmiaru.

W aplikacji Actual (narzędzie do finansów osobistych) przed wersją 26.4.0 istnieje łańcuch podatności pozwalający uwierzytelnionemu użytkownikowi z rolą BASIC na eskalację do ADMIN na serwerach migrowanych z uwierzytelniania hasłem na OpenID Connect. Luka wynika z braku kontroli autoryzacji w POST /account/change-password, pozostawienia nieaktywnego wiersza hasła po migracji oraz akceptacji przez loginMethod dostarczanego przez klienta. Wszystkie trzy słabości muszą być wykorzystane sekwencyjnie, aby uzyskać eskalację uprawnień.

OP-TEE to środowisko zaufane (TEE) zaprojektowane jako towarzysz dla niezabezpieczonego jądra Linux działającego na rdzeniach Arm Cortex-A. W wersjach od 3.13.0 do 4.10.0 brak odpowiednich sprawdzeń w funkcji `entry_get_attribute_value()` może prowadzić do odczytu poza granicami pamięci z sterty PKCS#11 TA lub do awarii.

Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach przed 8.2.6.4, punkt końcowy /config/<service>/find-in-config nie sanitizuje parametru words dostarczonego przez użytkownika, co pozwala na wstrzyknięcie dowolnych metaznaków powłoki i wykonanie poleceń systemowych z uprawnieniami sudo na zdalnym serwerze.