Katalog podatności CVE

Wasmtime w wersjach od 32.0.0 do 36.0.7, 42.0.2 i 43.0.1 zawiera błąd w kompilatorze Cranelift na architekturze aarch64, który powoduje nieprawidłowe obliczanie adresów pamięci przy dostępie do sterty. Błąd umożliwia modułom WebAssembly ominięcie kontroli granic i uzyskanie dostępu do dowolnej pamięci hosta, co prowadzi do ucieczki z piaskownicy.

W kompilatorze Winch w Wasmtime występuje błąd indeksowania tabel przy kompilacji instrukcji table.fill, spowodowany historycznym refaktoringiem, który nie zaktualizował ścieżek kodu Winch. Poprawny gość może spowodować panikę hosta lub modyfikację niewłaściwej tabeli. Podatność naprawiono w wersjach 36.0.7, 42.0.2 i 43.0.1.

Wasmtime to środowisko uruchomieniowe dla WebAssembly. W wersjach przed 24.0.7, 36.0.7, 42.0.2 i 43.0.1 występuje możliwy błąd paniki, który może wystąpić, gdy wartość modelu komponentu typu flags jest podnoszona z typem Val. Jeśli bity są ustawione poza zestawem flag, model komponentu określa, że te bity powinny być ignorowane, ale Wasmtime spowoduje panikę przy podnoszeniu tej wartości.

Wasmtime zawiera błąd walidacji długości bajtów podczas transkodowania ciągu UTF-16 do kodowania latin1+utf16 modelu komponentów. Sprawdzana jest liczba jednostek kodu zamiast długości w bajtach, co może prowadzić do odczytu poza końcem pamięci liniowej WebAssembly. W domyślnej konfiguracji powoduje to segfault (odmowa usługi), a przy wyłączonych stronach strażnika może umożliwić odczyt pamięci hosta.

W FoundationAgents MetaGPT do wersji 0.8.1 znaleziono lukę, która dotyczy funkcji ActionNode.xml_fill w pliku metagpt/actions/action_node.py komponentu XML Handler. Wykonanie manipulacji może prowadzić do niewłaściwego neutralizowania dyrektyw w dynamicznie ocenianym kodzie.

Wykryto podatność w FoundationAgents MetaGPT do wersji 0.8.1, która dotyczy funkcji check_solution komponentu HumanEvalBenchmark/MBPPBenchmark. Manipulacja tą funkcją może prowadzić do wstrzyknięcia kodu, a atak może być inicjowany zdalnie.

Wersje Rapid7 Velociraptor przed 0.76.2 zawierają podatność na niewłaściwą walidację danych wejściowych w obsłudze wiadomości monitorujących na serwerze Velociraptor, co pozwala uwierzytelnionemu zdalnemu atakującemu na zapis do dowolnych wewnętrznych kolejek serwera. Atakujący może wykorzystać złośliwą nazwę kolejki w stworzonym komunikacie monitorującym.

web3.py umożliwia interakcję z blockchainem Ethereum za pomocą Pythona. W wersjach od 6.0.0b3 do przed 7.15.0 i 8.0.0b2, implementacja CCIP Read / OffchainLookup (EIP-3668) wykonuje żądania HTTP do adresów URL dostarczonych przez inteligentne kontrakty, co prowadzi do podatności na atak SSRF.

SDK Ruby BSV dla blockchaina BSV w wersjach od 0.3.1 do przed 0.8.2 nie weryfikuje podpisu certyfikatora przy zapisywaniu rekordów certyfikatów. W przypadku protokołu akwizycji 'bezpośredniego' oraz 'wydania', dane są zapisywane bez weryfikacji, co pozwala na fałszowanie certyfikatów tożsamości.

SDK Ruby dla BSV ma lukę, która dotyczy wykrywania błędów w wersjach od 0.1.0 do przed 0.8.2. Odpowiedzi ARC z wartościami txStatus takimi jak INVALID, MALFORMED, MINED_IN_STALE_BLOCK lub zawierającymi ORPHAN są traktowane jako udane, co wprowadza w błąd aplikacje opierające się na sukcesie nadawcy.

Biblioteka basic-ftp dla Node.js przed wersją 5.2.1 jest podatna na wstrzykiwanie komend FTP poprzez sekwencje CRLF w parametrach ścieżek plików. Atakujący może wykorzystać tę podatność do wykonania dowolnych komend FTP na serwerze.

W wersjach przed 1.9.2 platformy AGiXT, funkcja safe_join() w rozszerzeniu essential_abilities nie weryfikuje, czy rozwiązane ścieżki plików pozostają w wyznaczonym obszarze roboczym agenta. Umożliwia to uwierzytelnionemu atakującemu wykorzystanie sekwencji przejścia katalogów do odczytu, zapisu lub usunięcia dowolnych plików na serwerze.

Podatność w Hashgraph Guardian do wersji 3.5.1 (załatana w commicie 45fbe2f) umożliwia wykonanie niesandboxowanego kodu JavaScript w bloku Custom Logic policy. Uwierzytelnieni użytkownicy Standard Registry mogą przekazywać dowolne wyrażenia JavaScript bezpośrednio do konstruktora Function() Node.js, co pozwala na importowanie natywnych modułów Node.js i odczyt plików z systemu plików kontenera.

W podatności CVE-2026-30478 zidentyfikowano lukę w bibliotece dynamicznej w GatewayGeo MapServer dla systemu Windows w wersji 5, która umożliwia atakującym eskalację uprawnień za pomocą spreparowanego pliku wykonywalnego.

W bibliotece GnuTLS wykryto podatność, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wysłanie spreparowanej wiadomości ClientHello z nieprawidłową wartością PSK podczas uzgadniania TLS. Prowadzi to do dereferencji wskaźnika NULL i awarii serwera, powodując zdalną odmowę usługi (DoS).

Wykryto podatność w urządzeniu Tenda CH22 w wersji 1.0.0.6(468), która dotyczy funkcji R7WebsSecurityHandler w komponencie httpd. Manipulacja tą funkcją prowadzi do możliwości przeprowadzenia ataku typu path traversal.

W projekcie Simple IT Discussion Forum w wersji 1.0 wykryto podatność, która dotyczy nieznanego kodu w pliku /topic-details.php. Manipulacja argumentem post_id prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

W Apache ActiveMQ, Apache ActiveMQ All oraz Apache ActiveMQ MQTT występuje podatność na przepełnienie lub owinięcie liczb całkowitych. Poprawka dla wcześniejszej podatności nie została zastosowana w wersjach 6.0.0 i wyższych, co stwarza ryzyko w tych wersjach.

Laravel Passport, który zapewnia wsparcie dla serwera OAuth2 w Laravel, ma lukę w autoryzacji, która pozwala na ominięcie uwierzytelnienia dla tokenów client_credentials. Wersje od 13.0.0 do przed 13.7.1 nie weryfikują, czy identyfikator użytkownika jest rzeczywiście identyfikatorem użytkownika, co może prowadzić do niezamierzonego uwierzytelnienia maszyny jako rzeczywistego użytkownika.

n8n-MCP to serwer Model Context Protocol (MCP), który umożliwia asystentom AI dostęp do dokumentacji, właściwości i operacji węzłów n8n. Przed wersją 2.47.4, występowała podatność typu Server-Side Request Forgery, która pozwalała na wysyłanie żądań HTTP do dowolnych adresów URL przez użytkowników posiadających ważny AUTH_TOKEN.