Katalog podatności CVE

Podatność Use-after-free w komponencie DOM: Core & HTML przeglądarki Firefox i klienta poczty Thunderbird. Luka została naprawiona w Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150 oraz Thunderbird 140.10.

Moduł API FreePBX w wersji 17.0.8 i wcześniejszych zawiera podatność na wstrzykiwanie poleceń w funkcji initiateGqlAPIProcess(). Pola wejściowe mutacji GraphQL są przekazywane bezpośrednio do funkcji shell_exec() bez sanityzacji, co pozwala uwierzytelnionemu użytkownikowi z ważnym tokenem na wykonanie dowolnych poleceń na serwerze.

Podatność w routerze Quantum Networks wynika z niewłaściwej kontroli dostępu oraz niebezpiecznej domyślnej konfiguracji w interfejsie zarządzania opartym na sieci web. Nieautoryzowany atakujący może wykorzystać tę podatność, uzyskując dostęp do wystawionych punktów końcowych API na docelowym urządzeniu.

Podatność w routerze Quantum Networks wynika z braku egzekwowania silnych polityk haseł w interfejsie zarządzania opartym na sieci web. Atakujący w tej samej sieci może wykorzystać tę podatność, przeprowadzając ataki zgadywania haseł lub brute-force na konta użytkowników, co prowadzi do nieautoryzowanego dostępu do docelowego urządzenia.

Zmiana haseł użytkowników backendu za pomocą modułu ustawień użytkownika skutkuje przechowywaniem hasła w postaci niezaszyfrowanej w polach uc i user_settings tabeli bazy danych be_users. Problem ten dotyczy TYPO3 CMS w wersji 14.2.0.

Podatność w routerze Quantum Networks wynika z braku ograniczenia liczby prób logowania oraz ochrony CAPTCHA dla nieudanych prób logowania w interfejsie zarządzania przez sieć. Atakujący w tej samej sieci może wykorzystać tę podatność do przeprowadzenia ataków typu brute force na dane logowania administratora, co prowadzi do nieautoryzowanego dostępu z uprawnieniami root na docelowym urządzeniu.

Podatność w routerze Quantum Networks wynika z niewystarczającego oczyszczania danych wejściowych dostarczanych przez użytkowników w interfejsie CLI zarządzania. Uwierzytelniony zdalny atakujący może wykorzystać tę podatność do wstrzykiwania dowolnych poleceń systemowych na docelowym urządzeniu.

Podatność CVE-2026-39467 dotyczy deserializacji niezaufanych danych w wtyczce MetaSlider Responsive Slider, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 3.106.0.

Serwer HTTP/web Zervit jest podatny na zdalne ataki DoS w przypadku wysłania żądania resetowania konfiguracji. Podatność wynika z niewystarczającej walidacji danych wejściowych dostarczonych przez użytkownika.

AiAssistant jest podatny na obejście uprawnień typu, co może wpłynąć na dostępność usługi.

FreeScout to darmowy, samodzielnie hostowany system pomocy technicznej i wspólna skrzynka pocztowa. W wersjach przed 1.8.213 funkcja `Helper::stripDangerousTags()` usuwa tagi `<script>`, `<form>`, `<iframe>`, `<object>`, ale nie usuwa tagów `<style>`, co pozwala na wstrzykiwanie stylów CSS.

W wersjach 3.4.0 do 3.4.9, 3.3.0 do 3.3.9 oraz 3.2.0 do 3.2.7 biblioteki OpenEXR występuje podatność związana z obliczeniami arytmetycznymi w `internal_dwa_compressor.h:1040`, które nie uwzględniają rzutowania na `(size_t)`. To prowadzi do potencjalnego przepełnienia, które zostało naprawione w innych dekoderach przez CVE-2026-34589/34588/34544, ale ta linia została pominięta.

W bibliotece OpenEXR w wersjach 3.2.0 do 3.2.7, 3.3.0 do 3.3.9 oraz 3.4.0 do 3.4.9 występuje przepełnienie liczby całkowitej w operacji mnożenia szerokości i wysokości obrazu w pliku `internal_dwa_compressor.h:1722`. Brak rzutowania na typ `size_t` powoduje, że wynik mnożenia może przekroczyć zakres 32-bitowej liczby całkowitej, co prowadzi do nieprawidłowego obliczenia rozmiaru bufora.

W narzędziu Apktool, wersje 3.0.0 i 3.0.1, występuje podatność typu path traversal, która pozwala na zapisanie dowolnych plików w systemie plików podczas standardowego dekodowania APK. Problem ten wynika z usunięcia wywołania `BrutIO.sanitizePath()`, co umożliwia atakującym wykorzystanie sekwencji `../` w plikach zasobów.

Lawnchair to darmowa, otwartoźródłowa aplikacja domowa dla systemu Android. Przed wprowadzeniem poprawki, wprowadzenie polecenia w pliku release_update.yml umożliwiało wykonanie dowolnego kodu.

Neko (self-hosted wirtualna przeglądarka w Dockerze z WebRTC) w wersjach 3.0.0–3.0.10 i 3.1.0–3.1.1 pozwala każdemu uwierzytelnionemu użytkownikowi natychmiast uzyskać pełną kontrolę administracyjną nad instancją. Umożliwia to zarządzanie członkami, ustawieniami pokoi, transmisją i sesjami, prowadząc do całkowitego przejęcia instancji. Podatność naprawiono w wersjach 3.0.11 i 3.1.2.

Signal K Server, działający na centralnym hubie w łodzi, w wersjach przed 2.25.0 jest podatny na atak Denial of Service (DoS) poprzez nieautoryzowane wyrażenia regularne w logice obsługi subskrypcji WebSocket. Atakujący może wstrzyknąć nieescapowane metaznaki regex do parametru `context`, co prowadzi do zablokowania pętli zdarzeń Node.js.

OpenClaw przed wersją 2026.3.28 zawiera lukę w autoryzacji w poleceniach zatwierdzania tekstu Discord, która pozwala osobom nieuprawnionym na rozwiązywanie oczekujących zatwierdzeń wykonania. Atakujący mogą wysyłać polecenia tekstowe do Discorda, aby obejść listę dozwolonych zatwierdzających i zatwierdzić oczekujące żądania wykonania hosta.

OpenClaw przed wersją 2026.3.31 zawiera podatność typu server-side request forgery w funkcjonalności pobierania wtyczki marketplace, która pozwala zdalnym atakującym na wykonywanie dowolnych żądań sieciowych. Atakujący mogą wykorzystać niechronione wywołania fetch() do uzyskania dostępu do zasobów wewnętrznych lub interakcji z zewnętrznymi usługami w imieniu zaatakowanego systemu.

OpenClaw przed wersją 2026.3.28 zawiera lukę w autoryzacji w metodzie chat.send, gdzie pola pochodzenia dostępne tylko dla ACP są kontrolowane przez samodzielnie zadeklarowane metadane klienta z handshake WebSocket, zamiast przez zweryfikowany stan autoryzacji. Uwierzytelnieni klienci operatorzy mogą fałszować etykiety tożsamości ACP i wstrzykiwać zarezerwowane pola pochodzenia, manipulując metadanymi klienta podczas połączenia.