Katalog podatności CVE

jq przed commit 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 używało MurmurHash3 z zakodowanym na stałe, publicznie widocznym ziarnem (0x432A9843) dla wszystkich operacji na tablicach mieszających obiektów JSON. Umożliwiło to atakującemu wstępne obliczenie kolizji kluczy offline i dostarczenie spreparowanego obiektu JSON (~100 KB), w którym wszystkie klucze trafiają do tego samego koszyka, powodując degradację wyszukiwania z O(1) do O(n) i wyczerpanie CPU.

Wersje Crypt::SecretBuffer przed 0.019 dla Perla są podatne na ataki czasowe. Umożliwia to atakującym zgadywanie haseł poprzez analizę różnic w czasie odpowiedzi przy porównywaniu haseł.

Wtyczka nocobase plugin-workflow-javascript w wersjach do 2.0.23 zawiera lukę bezpieczeństwa w funkcji createSafeConsole w pliku Vm.js. Manipulacja tą funkcją prowadzi do problemów z piaskownicą, co umożliwia zdalne przeprowadzenie ataku.

Łagodzenie podatności CVE-2026-4519 było niekompletne. Jeśli adres URL zawierał "%action", zabezpieczenie mogło zostać ominięte dla niektórych typów przeglądarek, a API "webbrowser.open()" mogło umożliwić wstrzyknięcie poleceń do powłoki systemowej.

W ImageMagick w wersjach starszych niż 7.1.2-19 i 6.9.13-44 funkcja `DestroyXMLTree()` usuwa pamięć drzewa XML w sposób rekurencyjny bez ograniczenia głębokości. Przetwarzanie pliku XML o głęboko zagnieżdżonej strukturze prowadzi do wyczerpania pamięci stosu i odmowy usługi (DoS).

Podatność związana z niewłaściwą kontrolą dostępu może umożliwić złośliwemu użytkownikowi z dostępem do sieci UniFi Play uzyskanie danych uwierzytelniających WiFi UniFi Play. Dotyczy to produktów UniFi Play PowerAmp w wersji 1.0.35 i wcześniejszych oraz UniFi Play Audio Port w wersji 1.0.24 i wcześniejszych.

Podatność związana z niewłaściwą walidacją danych wejściowych może pozwolić złośliwemu użytkownikowi z dostępem do sieci UniFi Play na spowodowanie, że urządzenie przestanie odpowiadać.

W ImageMagick poniżej wersji 7.1.2-19 i 6.9.13-44 występuje przepełnienie bufora sterty w dekoderze MVG, które może prowadzić do zapisu poza zakresem podczas przetwarzania spreparowanego obrazu.

Podatność SQL injection w Craft Commerce (wersje 5.0.0-5.5.4) występuje w właściwościach ProductQuery::hasVariant i VariantQuery::hasProduct, które omijają blokadę sanityzacji. Uwierzytelniony użytkownik panelu administracyjnego może wykorzystać ślepą iniekcję SQL do wyodrębnienia danych, w tym kluczy bezpieczeństwa, co umożliwia fałszowanie sesji administratora.

Craft Commerce w wersjach 4.0.0–4.10.2 i 5.0.0–5.5.4 zawiera podatność na wstrzyknięcie SQL w widgecie TotalRevenue, która pozwala każdemu uwierzytelnionemu użytkownikowi panelu sterowania na zdalne wykonanie kodu poprzez czteroetapowy łańcuch exploitacji. Atak wykorzystuje nieoczyszczone ustawienia widgetu interpolowane do wyrażeń SQL oraz domyślne wsparcie PDO dla zapytań wieloinstrukcjnych, aby wstrzyknąć złośliwy serializowany obiekt PHP do tabeli kolejki, co prowadzi do zapisu webshella PHP w katalogu webroot serwera.

W wersji 3.1 systemu rejestracji kursów online Phpgurukul odkryto podatność na nieautoryzowane przesyłanie plików w funkcjonalności przesyłania zdjęcia profilowego na stronie /my-profile.php.

W wersjach przed 1.3.0 biblioteki nimiq/core-rs-albatross, nieufny węzeł mógł spowodować awarię walidatora, publikując podpisaną wiadomość propozycji tendermint, w której signer był równy liczbie walidatorów. Błąd w sprawdzaniu granic indeksu prowadził do paniki z powodu przekroczenia zakresu przed weryfikacją podpisu.

W Tenda F456 w wersji 1.0.0.5 zidentyfikowano podatność, która występuje w funkcji formwebtypelibrary w pliku /goform/webtypelibrary. Manipulacja argumentem menufacturer/Go prowadzi do przepełnienia bufora na stosie.

W Tenda F456 w wersji 1.0.0.5 odkryto podatność w funkcji fromqossetting w pliku /goform/qossetting. Manipulacja argumentem page prowadzi do przepełnienia bufora na stosie, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność w urządzeniu Tenda F456 w wersji 1.0.0.5, która dotyczy funkcji fromNatStaticSetting w pliku /goform/NatStaticSetting. Manipulacja argumentem page prowadzi do przepełnienia bufora na stosie, co umożliwia zdalne przeprowadzenie ataku.

W urządzeniu Tenda F456 w wersji 1.0.0.5 odkryto lukę, która dotyczy funkcji formWrlsafeset w pliku /goform/AdvSetWrlsafeset. Manipulacja argumentem mit_ssid może prowadzić do przepełnienia bufora na stosie.

Pachno 1.0.6 zawiera podatność na nieograniczone przesyłanie plików, która pozwala uwierzytelnionym użytkownikom na przesyłanie dowolnych typów plików, omijając nieskuteczne filtrowanie rozszerzeń w punkcie końcowym /uploadfile. Atakujący mogą przesyłać pliki wykonywalne .php5 do katalogów dostępnych przez sieć i uruchamiać je, co prowadzi do zdalnego wykonania kodu na serwerze.

Pachno 1.0.6 zawiera podatność na przechowywane ataki typu cross-site scripting, która pozwala atakującym na wykonanie dowolnego kodu HTML i skryptów poprzez wstrzykiwanie złośliwych ładunków do parametrów POST. Atakujący mogą wstrzykiwać skrypty przez różne parametry, które są przechowywane w bazie danych i wykonywane w sesjach przeglądarek użytkowników z powodu niewłaściwego oczyszczania.

Endpoint `/registercrd` w KubePlus 4.14 w komponencie kubeconfiggenerator jest podatny na wstrzykiwanie poleceń. Parametr `chartName` dostarczany przez użytkownika jest bezpośrednio łączony z ciągiem polecenia bez jakiejkolwiek sanitizacji czy walidacji.

Wykryto podatność w urządzeniu Tenda F456 w wersji 1.0.0.5, która dotyczy funkcji fromexeCommand w pliku /goform/exeCommand. Manipulacja argumentem cmdinput prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie.