Katalog podatności CVE

Podatność CVE-2026-5494 dotyczy oprogramowania Labcenter Electronics Proteus i polega na możliwości zdalnego wykonania dowolnego kodu poprzez nieprawidłowe przetwarzanie plików PDSPRJ. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2026-5493 dotyczy oprogramowania Labcenter Electronics Proteus i polega na możliwości wykonania zdalnego kodu poprzez nieprawidłowe przetwarzanie plików PDSPRJ. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność NoMachine pozwala lokalnym atakującym na eskalację uprawnień na zainfekowanych instalacjach. Problem występuje w NoMachine Device Server, który ładuje bibliotekę z niebezpiecznej lokalizacji.

Podatność NoMachine umożliwia lokalnym atakującym eskalację uprawnień na zainfekowanych instalacjach. Problem wynika z niewłaściwego sprawdzania parametrów wiersza poleceń, co pozwala na wykorzystanie dostarczonej przez użytkownika ścieżki w operacjach na plikach.

Podatność NoMachine pozwala lokalnym atakującym na usunięcie dowolnych plików na zainfekowanych instalacjach. Problem wynika z niewłaściwego sprawdzania zmiennych środowiskowych przed ich użyciem w operacjach na plikach.

Podatność w konfiguracji OpenSSL w KeePassXC umożliwia lokalnym atakującym eskalację uprawnień. Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach na docelowym systemie, aby móc wykorzystać tę podatność.

Podatność CVE-2026-4157 dotyczy urządzeń ChargePoint Home Flex i pozwala atakującym z sieci lokalnej na zdalne wykonanie dowolnego kodu. Problem wynika z niewłaściwego przetwarzania wiadomości OCPP, co umożliwia atakującemu wykorzystanie niezweryfikowanego ciągu znaków do wykonania polecenia systemowego.

Podatność w ChargePoint Home Flex OCPP umożliwia zdalne wykonanie kodu poprzez przepełnienie bufora na stosie. Problem wynika z braku odpowiedniej walidacji długości danych dostarczanych przez użytkownika przed ich skopiowaniem do bufora o stałej długości.

Podatność CVE-2026-4155 dotyczy stacji ładowania ChargePoint Home Flex, która umożliwia zdalnym atakującym ujawnienie wrażliwych informacji. Problem wynika z obecności tajnego klucza kryptograficznego w skrypcie genpw, co pozwala na ujawnienie zapisanych poświadczeń.

Podatność w GIMP umożliwia zdalne wykonanie kodu podczas parsowania plików XPM. Problem wynika z braku walidacji danych użytkownika, co prowadzi do przepełnienia liczby całkowitej przed alokacją bufora. Wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).

Podatność w GIMP umożliwia zdalne wykonanie kodu poprzez przepełnienie bufora sterty podczas parsowania plików PSP. Atak wymaga interakcji użytkownika, który musi otworzyć złośliwy plik lub odwiedzić stronę.

Podatność w GIMP umożliwia zdalne wykonanie kodu przez przepełnienie bufora sterty podczas parsowania plików JP2. Atak wymaga interakcji użytkownika, który musi otworzyć złośliwy plik lub odwiedzić stronę.

Podatność w GIMP umożliwia zdalne wykonanie kodu przez przepełnienie liczby całkowitej podczas parsowania plików ANI. Atak wymaga interakcji użytkownika, który musi otworzyć złośliwy plik lub odwiedzić stronę.

Podatność w GIMP umożliwia zdalne wykonanie kodu poprzez parsowanie plików PSD. Problem wynika z braku walidacji danych użytkownika, co prowadzi do przepełnienia liczby całkowitej przed alokacją bufora. Wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).

Podatność CVE-2026-3690 dotyczy systemu OpenClaw i pozwala zdalnym atakującym na ominięcie procesu uwierzytelniania. Problem wynika z nieprawidłowej implementacji funkcji uwierzytelniania dla punktów końcowych canvas.

Wersje Net::CIDR::Lite przed 0.23 dla Perla nie weryfikują liczby grup IPv6, co może prowadzić do obejścia kontroli dostępu IP. Funkcja _pack_ipv6() akceptuje niepoprawne adresy IPv6, co skutkuje błędnymi wartościami długości.

FastGPT to platforma do budowania agentów AI. W wersjach przed 4.14.10.4 występuje podatność na złamanie kontroli dostępu (IDOR/BOLA), która pozwala każdemu uwierzytelnionemu zespołowi na dostęp i uruchamianie aplikacji należących do innych zespołów poprzez podanie obcego appId.

Arcane to interfejs do zarządzania kontenerami Docker, obrazami, sieciami i wolumenami. W wersjach przed 1.17.3, punkt końcowy /api/templates/fetch akceptuje parametr url dostarczany przez wywołującego i wykonuje żądanie HTTP GET do tego URL bez uwierzytelnienia oraz bez walidacji schematu URL lub hosta. Odpowiedź serwera jest zwracana bezpośrednio do wywołującego.

Podatność w goshs, prostym serwerze HTTP napisanym w Go, występuje w wersjach od 1.0.7 do przed 2.0.0-beta.4. Komenda SFTP 'rename' sanitizuje jedynie ścieżkę źródłową, co pozwala na zapis poza katalogiem głównym SFTP.

TREK to narzędzie do wspólnego planowania podróży. W wersjach przed 2.7.2 brakowało w nim kontroli autoryzacji na trasach zarządzania zdjęciami podróży Immich. Ta podatność została naprawiona w wersji 2.7.2.