Katalog podatności CVE

Wykryto podatność w ericc-ch copilot-api do wersji 0.7.0, dotycząca funkcji cors w pliku src/server.ts komponentu Token Endpoint. Manipulacja tą funkcją prowadzi do zezwolenia na politykę cross-domain z niezaufanymi domenami.

W bibliotece KissFFT przed commit 8a8e66e wykryto podatność na przepełnienie liczby całkowitej w funkcji kiss_fftndr_alloc(). Obliczenie rozmiaru alokacji dimOther*(dimReal+2)*sizeof(kiss_fft_scalar) przepełnia 32-bitową arytmetykę ze znakiem przed konwersją do size_t, co powoduje przydzielenie zbyt małego bufora przez malloc(). Atakujący mogą wykorzystać spreparowane wymiary, aby wywołać przepełnienie bufora na stercie podczas przetwarzania danych przez kiss_fftndr().

Magento Long Term Support (LTS) przed wersją 20.17.0 używa niekompletnej listy blokowanych rozszerzeń plików, co pozwala na przesyłanie niebezpiecznych plików. Możliwe jest ominięcie blokady poprzez użycie alternatywnych rozszerzeń PHP, co prowadzi do możliwości zdalnego wykonania kodu.

Podatność niebezpiecznych uprawnień w oprogramowaniu DeepCool DeepCreative w wersji 1.2.12 i wcześniejszych umożliwia lokalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany plik.

W systemach Dell PowerProtect Data Domain w wersjach od 7.7.1.0 do 8.6 oraz w wersjach LTS2025 i LTS2024 występuje podatność na wstrzykiwanie poleceń systemowych. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami roota.

Magento Long Term Support (LTS) przed wersją 20.17.0 zawierał podatność, która pozwalała na deserializację podczas przetwarzania ścieżek z użyciem wrappera strumieniowego `phar://`. Funkcje PHP takie jak `getimagesize()`, `file_exists()` i `is_readable()` mogły być wykorzystane przez atakującego do wykonania złośliwego kodu poprzez przesłanie złośliwego pliku phar, podszywającego się pod obraz.

W systemach Dell PowerProtect Data Domain w wersjach od 7.7.1.0 do 8.6 oraz w wersjach LTS2025 i LTS2024 występuje podatność na wstrzykiwanie poleceń systemowych. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do wykonania dowolnych poleceń jako użytkownik root.

Dell PowerProtect Data Domain w wersjach od 8.5 do 8.6 zawiera podatność na niewłaściwą walidację danych wejściowych. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami roota.

Podatność w Dell PowerProtect Data Domain, wersje 7.7.1.0 do 8.6 oraz LTS2025 i LTS2024, polega na niewłaściwej walidacji danych wejściowych. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami roota.

ConnectWise wydał aktualizację zabezpieczeń dla ConnectWise Automate™, która rozwiązuje problem z komunikacją klient-serwer w Solution Center, gdzie niektóre połączenia mogły odbywać się bez szyfrowania na warstwie transportowej. Problem został rozwiązany w wersji Automate 2026.4 poprzez wymuszenie bezpiecznej komunikacji dla dotkniętych połączeń Solution Center.

Vvveb przed wersją 1.0.8.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w akcji oEmbedProxy modułu editor/editor. Parametr url jest przekazywany bezpośrednio do getUrl() przez curl bez walidacji schematu lub celu. Uwierzytelnieni użytkownicy backendu mogą używać URL-i file:// do odczytu dowolnych plików dostępnych dla procesu serwera WWW lub URL-i http:// skierowane na wewnętrzne adresy sieciowe do skanowania wewnętrznych usług, a treść odpowiedzi jest zwracana bezpośrednio do wywołującego.

W Vvveb przed wersją 1.0.8.1 występuje podatność na eskalację uprawnień w punkcie końcowym zapisu profilu administratora. Uwierzytelnieni użytkownicy mogą modyfikować uprzywilejowane pola swojego profilu, wstrzykując role_id=1, co prowadzi do uzyskania uprawnień Super Administratora i umożliwia zdalne wykonanie kodu przez wgrywanie wtyczek.

W systemach Dell PowerProtect Data Domain w wersjach od 7.7.1.0 do 8.6 oraz LTS2025 w wersji 8.3.1.0 do 8.3.1.20 i LTS2024 w wersjach od 7.13.1.0 do 7.13.1.60 występuje luka związana z brakiem uwierzytelnienia dla krytycznej funkcji. Atakujący bez uwierzytelnienia zdalnie może wykorzystać tę podatność, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami roota.

Vexa to otwartoźródłowy, samodzielny bot do spotkań oraz API do transkrypcji spotkań. W wersjach przed 0.10.0-260419-1910 usługa zbierania transkrypcji Vexa udostępnia wewnętrzny punkt końcowy `GET /internal/transcripts/{meeting_id}`, który zwraca dane transkrypcyjne dla każdego spotkania bez jakichkolwiek kontroli uwierzytelniania lub autoryzacji.

Dell PowerProtect Data Domain z systemem operacyjnym Data Domain (DD OS) w wersjach od 7.7.1.0 do 8.5 oraz w wersjach LTS2025 i LTS2024 zawiera podatność na wstrzyknięcie poleceń systemowych. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność do wykonania dowolnych poleceń.

Podatność CVE-2026-4048 dotyczy zdalnego wykonania kodu poprzez wstrzyknięcie poleceń systemowych w interfejsie użytkownika produktów Progress ADC. Umożliwia to uwierzytelnionemu atakującemu z pełnymi uprawnieniami wykonanie dowolnych poleceń na urządzeniu LoadMaster poprzez wykorzystanie niesanitarnych danych wejściowych w pliku reguły WAF podczas procesu przesyłania pliku.

Podatność CVE-2026-3519 dotyczy zdalnego wykonania kodu poprzez wstrzyknięcie poleceń systemowych w API produktów Progress ADC. Umożliwia to uwierzytelnionemu atakującemu z uprawnieniami 'VS Administration' wykonanie dowolnych poleceń na urządzeniu LoadMaster poprzez wykorzystanie niesanitarnych danych wejściowych w poleceniu 'aclcontrol'.

W podatności CVE-2026-3518 zidentyfikowano lukę w API produktów Progress ADC, która umożliwia zdalne wykonanie kodu poprzez wstrzyknięcie poleceń systemowych. Uwierzytelniony atakujący z pełnymi uprawnieniami może wykorzystać niesanitizowane dane wejściowe w poleceniu 'killsession' do wykonania dowolnych poleceń na urządzeniu LoadMaster.

Podatność CVE-2026-3517 dotyczy zdalnego wykonania kodu poprzez wstrzyknięcie poleceń systemowych w API produktów Progress ADC. Umożliwia to uwierzytelnionemu atakującemu z uprawnieniami 'Geo Administration' wykonanie dowolnych poleceń na urządzeniu LoadMaster poprzez wykorzystanie niesanitarnych danych wejściowych w poleceniu 'addcountry'.

Wykryto podatność w rowboatlabs rowboat do wersji 0.1.67, która wpływa na funkcję tool_call w pliku apps/experimental/tools_webhook/app.py komponentu tools_webhook. Manipulacja argumentem X-Tools-JWE prowadzi do niewłaściwej autoryzacji.