Katalog podatności CVE

Parser URI fast-uri dla Node.js nieprawidłowo waliduje adresy IPv6 w nawiasach, co pozwala na przekształcenie złośliwego hosta w inny adres IPv6, np. loopback lub adres prywatny. Podatność dotyczy wersji 2.3.1 do 2.4.4, 3.0.0 do 3.1.5 oraz 4.0.0 do 4.1.2.

Parser URI fast-uri dla Node.js nie kanonizuje hosta w referencjach względnych schematu, co prowadzi do niespójności między funkcjami parse, resolve, normalize i equal. Podatność dotyczy wersji 2.4.2 do 2.4.4, 3.1.3 do 3.1.5 oraz 4.0.1 do 4.1.2.

Parser URI fast-uri dla Node.js dekoduje procentowe sekwencje w nazwie hosta dwukrotnie, co może prowadzić do zmiany docelowego adresu na loopback lub inny adres wewnętrzny. Podatność dotyczy wersji 2.4.1 do 2.4.4, 3.1.2 do 3.1.5 oraz 4.0.0 do 4.1.2.

Podatność polegająca na przechodzeniu poza katalog (path traversal) w przetwarzaniu szablonów instancji LXD pozwala atakującemu z uprawnieniami edycji kontenera lub każdemu użytkownikowi uruchamiającemu spreparowany obraz na nadpisywanie dowolnych plików na hoście jako root. Podczas przetwarzania ścieżek szablonów docelowych określonych w metadata.yaml, LXD sprawdza ścieżkę względem ograniczonego uchwytu katalogu os.Root, ale następnie otwiera i tworzy plik za pomocą os.Create z nieograniczoną ścieżką. Ta rozbieżność między kontrolą rozwiązywania ścieżek a tworzeniem plików pozwala atakującemu na ucieczkę z ograniczeń katalogu, nadpisanie plików hosta należących do roota i osiągnięcie wykonania kodu jako root na hoście.

Ten identyfikator CVE został odrzucony, ponieważ jest duplikatem CVE-2026-15303 i nigdy nie został opublikowany. Oba identyfikatory zostały przypisane do tej samej podatności w wtyczce 6Storage Rentals dla WordPressa. Wszyscy użytkownicy CVE powinni odwoływać się do CVE-2026-15303 zamiast tego identyfikatora.

Serwer HTTP multimediów w dronach DJI nie egzekwuje wystarczających limitów liczby połączeń przychodzących ani szybkości żądań. Atakujący z dostępem do sieci wewnętrznej drona może wyczerpać pulę połączeń serwera, wielokrotnie żądając pliku multimedialnego, co uniemożliwia obsługę prawidłowych żądań i powoduje odmowę usługi, uniemożliwiając aplikacji DJI Fly pobieranie zdjęć i filmów z drona w trybie QuickTransfer. Wymagana jest aktualizacja oprogramowania układowego od producenta.

Drony DJI udostępniają nieuwierzytelniony interfejs poleceń DUML przez Bluetooth, co pozwala atakującemu w zasięgu Bluetooth na modyfikację parametrów Wi-Fi, w tym SSID, PSK, adres MAC, kod kraju i kanał. Może to prowadzić do przejęcia kontroli nad dronem lub ataku DoS.

Serwer HTTP multimediów w dronach DJI udostępnia zdjęcia i filmy przez punkt końcowy `/v2` bez uwierzytelniania klienta. Nazwy plików mają przewidywalny wzorzec, co pozwala atakującemu w sieci wewnętrznej drona na wyliczenie prawidłowych nazw i kradzież zapisanych multimediów. Ujawnione dane mogą zawierać wrażliwe informacje, takie jak prywatne lokalizacje, mienie, historię podróży, rozpoznawalne osoby i rutynę operatora.

Rozszerzenie Joomla - joomlack.fr - Wtórna iniekcja SQL w Page Builder CK < 3.6.5 - Rozszerzenie Joomla Page Builder CK jest podatne na iniekcję SQL związaną z metodą loadStyles modelu strony frontendowej.

Rozszerzenie Joomla Page Builder CK w wersji poniżej 3.6.5 jest podatne na odzwierciedlony atak XSS poprzez parametr iscontenttype. Atak może zostać wykonany zdalnie.

Interfejs webowy przełączników Murrelektronik Xelity rejestruje adresy MAC z tablicy adresów MAC urządzenia, gdy uwierzytelniony administrator używa funkcji 'Kopiuj nauczone adresy MAC'. Z powodu nieprawidłowego generowania komunikatów o błędach, nieuwierzytelniony atakujący z dostępem sieciowym do interfejsu webowego może odzyskać zarejestrowane adresy MAC za pomocą narzędzi deweloperskich przeglądarki.

W systemie itsourcecode Payroll System 1.0 wykryto podatność w funkcji save_settings w pliku admin_class.php. Manipulacja argumentem img prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.

W systemie itsourcecode Payroll System 1.0 wykryto podatność w funkcji Login w pliku admin_class.php. Manipulacja argumentem Username prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.

W systemie itsourcecode Library Management System 1.0 znaleziono podatność. Dotyczy ona nieznanej funkcji w pliku editbooks.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie. Exploit został opublikowany i może być użyty.

W systemie SourceCodester Simple Online Food Ordering System 1.0 wykryto podatność w nieznanej funkcji pliku /fos/view_prod.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W systemie SourceCodester Simple Online Food Ordering System 1.0 wykryto podatność w nieznanym przetwarzaniu pliku /fos/admin/ajax.php?action=add_to_cart. Manipulacja argumentem pid prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.

Wykryto podatność w SourceCodester Simple Online Food Ordering System 1.0. Dotyczy nieznanego kodu w pliku /fos/admin/ajax.php?action=save_user. Manipulacja argumentem Username powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W bibliotece expo-share-intent do wersji 8.0.0 wykryto podatność w funkcji getDataColumn pliku ExpoShareIntentModule.kt komponentu Android File Copy Routine. Manipulacja argumentem _display_name prowadzi do przejścia ścieżki (path traversal). Atak wymaga dostępu lokalnego.

W Piwigo 16.3.0 znaleziono podatność w nieznanej funkcji komponentu Public Authentication Page. Manipulacja argumentem lang prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Exploit został opublikowany. Aktualizacja do wersji 16.4.0 naprawia problem.

W Open5GS do wersji 2.8.0 wykryto podatność w nieznanej funkcji pliku src/hss/hss-cx-path.c komponentu HSS. Manipulacja argumentem User-Name powoduje osiągalne asercje (reachable assertion). Atak może być przeprowadzony zdalnie, a exploit jest opublikowany.