Katalog podatności CVE

Złośliwy serwer pocztowy może wysłać nieprawidłowe ciągi znaków z ujemnymi długościami, powodując odczyt pamięci poza buforem przez parser. Jeśli serwer pocztowy lub połączenie z nim zostanie skompromitowane, atakujący może spowodować nieprawidłowe działanie parsera, potencjalnie prowadząc do awarii Thunderbirda lub wycieku wrażliwych danych.

Podatności typu injection w ActiveMatrix BusinessWorks i Enterprise Administrator wynikają z niewystarczającej walidacji i sanityzacji danych wprowadzanych przez użytkownika. Umożliwiają one ujawnienie informacji, w tym dostęp do lokalnych plików i szczegółów systemu, oraz mogą pozwolić na manipulację zachowaniem aplikacji.

Framework NVIDIA NeMo zawiera podatność, która umożliwia zdalne wykonanie kodu przez atakującego. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

Serwer wnioskowania NVIDIA Triton zawiera podatność w punkcie końcowym HTTP, która pozwala atakującemu na spowodowanie odmowy usługi poprzez dostarczenie dużego skompresowanego ładunku. Udany atak może prowadzić do odmowy usługi.

Framework NVIDIA NeMo zawiera podatność w ładowaniu punktów kontrolnych, która może umożliwić zdalne wykonanie kodu przez atakującego. Skuteczne wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Megatron-LM zawiera podatność w ładowaniu punktów kontrolnych, która może umożliwić zdalne wykonanie kodu (RCE) poprzez nakłonienie użytkownika do załadowania złośliwie przygotowanego pliku. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Megatron-LM zawiera podatność w procesie wnioskowania, która pozwala atakującemu na zdalne wykonanie kodu (RCE) poprzez nakłonienie użytkownika do załadowania złośliwie przygotowanego wejścia. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Megatron-LM zawiera podatność w ładowaniu punktów kontrolnych, która może umożliwić zdalne wykonanie kodu (RCE) poprzez nakłonienie użytkownika do załadowania złośliwie przygotowanego pliku. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Model Optimizer dla systemów Windows i Linux zawiera podatność w funkcji kwantyzacji ONNX, która pozwala na niebezpieczną deserializację przy użyciu specjalnie przygotowanego pliku wejściowego. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi oraz ujawnienia informacji.

Serwer wnioskowania NVIDIA Triton zawiera podatność, która może prowadzić do uszkodzenia wewnętrznego stanu. Udane wykorzystanie tej podatności może skutkować odmową usługi.

NVIDIA Megatron-LM zawiera podatność w skrypcie konwersji hybrydowej, która umożliwia atakującemu zdalne wykonanie kodu (RCE) poprzez nakłonienie użytkownika do załadowania złośliwie przygotowanego pliku. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Megatron LM zawiera podatność w ładowaniu konfiguracji kwantyzacji, która może umożliwić zdalne wykonanie kodu. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

Serwer HTTP NVIDIA Triton Inference Server Sagemaker zawiera podatność, która pozwala atakującemu na wywołanie wyjątku. Udane wykorzystanie tej podatności może prowadzić do odmowy usługi.

pyLoad to darmowy menedżer pobierania napisany w Pythonie. W wersjach od 0.4.0 do przed wersją 0.5.0b3.dev97, punkt końcowy API set_config_value() pozwala użytkownikom z uprawnieniami SETTINGS na modyfikację dowolnej opcji konfiguracyjnej bez ograniczeń, co może prowadzić do zdalnego wykonania kodu.

MinIO to system przechowywania obiektów o wysokiej wydajności. Przed wersją RELEASE.2026-03-17T21-25-16Z, punkt końcowy AssumeRoleWithLDAPIdentity w usłudze STS (Security Token Service) był podatny na ataki brute-force na poświadczenia LDAP z powodu dwóch połączonych słabości: rozróżnialnych odpowiedzi błędów umożliwiających enumerację nazw użytkowników oraz braku ograniczeń liczby prób uwierzytelnienia.

Dagu to silnik workflow z wbudowanym interfejsem użytkownika w sieci. W wersjach od 2.0.0 do przed 2.3.1, niektóre API nie weryfikowały poprawności nazwy DAG, co pozwalało na przechodzenie poza katalogi DAG przy użyciu zakodowanych ukośników w parametrach URL.

NiceGUI to framework UI oparty na Pythonie. W wersjach przed 3.9.0, metody app.add_media_file() i app.add_media_files() akceptują parametr zapytania kontrolowany przez użytkownika, który wpływa na sposób odczytu plików podczas strumieniowania, co może prowadzić do problemów z wydajnością.

W narzędziu oRPC, które służy do budowy API zgodnych z OpenAPI, przed wersją 1.13.9 występowała podatność na przechowywane ataki XSS w generowanej dokumentacji OpenAPI. Atakujący, mając kontrolę nad dowolnym polem w specyfikacji OpenAPI, mógł wykonać dowolny kod JavaScript podczas przeglądania dokumentacji API przez użytkownika.

FileRise to samodzielnie hostowany menedżer plików / serwer WebDAV. Przed wersją 3.10.0 występował problem z kontrolą dostępu w integracji z ONLYOFFICE, który pozwalał uwierzytelnionemu użytkownikowi z dostępem tylko do odczytu uzyskać podpisany adres URL zwrotny do zapisu pliku i bezpośrednio sfałszować ten adres URL, aby nadpisać plik treścią kontrolowaną przez atakującego.

FileRise to samodzielnie hostowany menedżer plików i serwer WebDAV. W wersjach od 1.0.1 do przed 3.10.0 parametr resumableIdentifier w obsłudze przesyłania chunków (UploadModel::handleUpload()) jest bezpośrednio łączony z ścieżkami systemu plików bez żadnej sanitizacji.