Katalog podatności CVE

W GPAC w wersji c2dee3aff638cd96f9617ac5b17dc2868cd90ef3 istnieje problem umożliwiający atakującemu wykonanie dowolnego kodu poprzez komponenty src/media_tools/dvb_mpe.c, descriptorTime_slice_fec_identifier() oraz gf_m2ts_ipdatagram_reader(). Problem został naprawiony w wersji 0e4093392e1f847c90d20e031e893cd942fef938.

W GPAC w wersji c2dee3aff638cd96f9617ac5b17dc2868cd90ef3 występuje podatność przepełnienia bufora w funkcji j2kdec_process(), która pozwala atakującemu na wykonanie dowolnego kodu. Poprawka została wprowadzona w wersji 9a253a07fd3f6b48022bba74302bf39388dda859.

W GPAC w wersji c2dee3aff638cd96f9617ac5b17dc2868cd90ef3 występuje podatność przepełnienia bufora w funkcji nhntdmx_process(), która pozwala atakującemu na wykonanie dowolnego kodu. Poprawka została wprowadzona w wersji fac50e6a12ac27ffabdd5d3080b51afcc44ad8d6.

W Cyrus IMAP przed wersją 3.12.4 występuje podwójne zwolnienie pamięci (double-free) w mechanizmie VPATCH BYPARAM. Uwierzytelniony użytkownik kalendarza może doprowadzić do awarii procesu CalDAV, wysyłając żądanie PATCH z atrybutem PATCH-ACTION="BYPARAM@..." dla zasobu z co najmniej dwiema właściwościami danego typu. Pamięć przechowująca selektor jest zwalniana wielokrotnie podczas iteracji po właściwościach.

W Cyrus IMAP przed wersją 3.12.4 istnieje wyrocznia istnienia skrzynek pocztowych w języku Sieve. Uwierzytelniony użytkownik może zainstalować skrypt Sieve, który sprawdza, czy prywatna skrzynka innego użytkownika istnieje, lub odczytać wartość adnotacji współdzielonych skrzynek, obserwując, która gałąź fileinto zostanie wykonana podczas dostarczania wiadomości przez LMTP.

W Cyrus IMAP przed wersją 3.12.4 funkcja Mailbox/set pozwala współdzielącemu (sharee) zmienić rolę specjalnego zastosowania (special-use) na współdzielonych skrzynkach. Uwierzytelniony użytkownik z uprawnieniem maySetKeywords na skrzynce innego użytkownika może zmienić adnotację specialuse tej skrzynki. Może to pozwolić na zmianę roli współdzielonej skrzynki na zarchiwizowaną, odłożoną (snoozed) lub inną, co może spowodować zapisywanie wiadomości do tej skrzynki, udostępniając więcej treści niż zamierzono.

W Cyrus IMAP przed wersją 3.12.4 funkcja CalDAV/CardDAV multiget omija kontrolę dostępu per-href. Uwierzytelniony użytkownik DAV z częściowym dostępem do kalendarza lub książki adresowej innego użytkownika może odczytać nawet nieudostępnione zdarzenia lub kontakty, dołączając docelowe href do żądania calendar-multiget lub addressbook-multiget REPORT.

W Cyrus IMAP przed wersją 3.12.4 identyfikator blob nagłówka wiadomości JMAP może odnosić się do indeksu poza zakresem. Uwierzytelniony użytkownik może próbować pobrać spreparowany identyfikator blob w formie H<emailid>-<index>, co może spowodować odczyt poza końcem wewnętrznej tablicy blob_headers podczas pobierania, ujawniając sąsiednią pamięć sterty.

W LIVE555 Streaming Media (wersja 2026.02.26) występuje podatność use-after-free w funkcji SocketDescriptor::tcpReadHandler1 (liveMedia/RTPInterface.cpp), która pozwala atakującemu na spowodowanie odmowy usługi (DoS) poprzez wysyłanie serii spreparowanych żądań RTSP i HTTP do serwera.

Ujawnienie informacji w zapytaniu GraphQL blogComments w Magefan Blog GraphQL dla Magento 2 do wersji 2.2.1 pozwala zdalnym nieuwierzytelnionym atakującym na uzyskanie adresów e-mail komentatorów bloga oraz wewnętrznych identyfikatorów klientów i administratorów poprzez żądanie POST do /graphql.

Podatność na wstrzykiwanie SQL w bloku RelatedProduct w Mageplaza Blog dla Magento 2 do wersji 4.3.2 pozwala zdalnym nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń SQL i odczyt dowolnej zawartości bazy danych poprzez parametr id w /mpblog/post/view.

W Cyrus IMAP przed wersją 3.12.4 funkcja JMAP snooze omija kontrolę dostępu (ACL) docelowej skrzynki. Uwierzytelniony użytkownik z uprawnieniami do wstawiania w cudzej skrzynce snoozed może spowodować wstawienie wiadomości do skrzynki odbiorczej tego użytkownika lub do innych jego skrzynek, których identyfikator zna, mimo braku uprawnień do wstawiania do docelowej skrzynki.

SkillTree przed wersją 4.4.2 zawiera podatność XSS wynikającą z połączenia dwóch błędów: braku kodowania HTML w StringHighlighter.js oraz użycia v-html w HighlightedValue.vue. Atakujący może zarejestrować konto z złośliwym polem firstName/lastName/nickname, a po otwarciu strony Quiz Runs przez administratora, payload wykonuje się w jego przeglądarce. Istnieją trzy ścieżki ataku o rosnącym wpływie: podstawowy XSS, zdalne ładowanie skryptów przez import() oraz kradzież tokenów CSRF.

W oprogramowaniu SJRC F11 SJ-GPS-PRO (build 2019-09-17) występuje problem umożliwiający zdalnemu atakującemu uzyskanie poufnych informacji poprzez usługę inetd, która uruchamia /app/sh_for_telnet.

W WIngs3D w wersji 2.4.1 występuje problem umożliwiający lokalnemu atakującemu spowodowanie odmowy usługi poprzez spreparowany plik Wavefront OBJ.

W sterowniku Thesycon DPC Latency Checker (dpc.sys) do wersji 1.4.0 istnieje podatność umożliwiająca lokalnym nieuprzywilejowanym użytkownikom spowodowanie awarii systemu (BSOD) na systemach Windows. Sterownik udostępnia interfejs IOCTL (0x81772008), który przyjmuje dane sterowane przez użytkownika bez walidacji wskaźników przed przekazaniem ich do API jądra. Dereferencja wskaźnika dostarczonego przez użytkownika i użycie wyniku w wywołaniu ExSetTimerResolution prowadzi do arbitralnego dostępu do pamięci jądra, co skutkuje awarią systemu.

Podatność CWE-88: Niewłaściwa neutralizacja separatorów argumentów w poleceniu (Argument Injection) może umożliwić zdalne wykonanie kodu przez atakującego z uprzywilejowanym kontem, gdy złośliwe argumenty są podane jako parametry konfiguracji kopii zapasowej.

MaxSite CMS do wersji 109.6 przekazuje ciasteczko ci_session do funkcji unserialize() bez ograniczeń klas, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie obiektów PHP. Atakujący mogą sfałszować prawidłowe ciasteczka sesji używając zakodowanego na stałe klucza szyfrującego, aby wywołać metody magiczne i uszkodzić stan aplikacji lub osiągnąć wykonanie kodu, jeśli istnieją klasy gadżetów.

MaxSite CMS do wersji 109.6 zawiera na stałe zaszyty klucz szyfrowania sesji w pliku application/config/config.php, który nie jest zmieniany podczas instalacji. Umożliwia to nieuwierzytelnionemu atakującemu sfałszowanie ciasteczek sesji administratora poprzez obliczenie HMAC-SHA1 z publicznie znanym kluczem, omijając kontrolę uwierzytelniania w funkcjach is_login() i mso_check_allow().

MaxSite CMS w wersjach od 0.94 do 109.6 zawiera podatność na cross-site scripting (XSS) w obsłudze przesyłania plików w panelu administracyjnym, która pozwala każdemu zalogowanemu użytkownikowi na przesyłanie plików HTML. Atakujący może przesłać HTML zawierający złośliwe skrypty do katalogu uploads/_pages/, które wykonują się w przeglądarkach odwiedzających, umożliwiając trwałe ataki XSS.