Katalog podatności CVE

W bibliotece NLTK (Natural Language Toolkit) w wersjach 3.9.3 i wcześniejszych, mechanizm pobierania nie weryfikuje atrybutów `subdir` i `id` podczas przetwarzania zdalnych plików indeksu XML. Atakujący może kontrolować zdalny serwer XML, aby dostarczyć złośliwe wartości zawierające sekwencje przejścia do katalogu nadrzędnego (np. `../`), co umożliwia tworzenie dowolnych katalogów, plików oraz nadpisywanie istniejących plików.

Podatność w bibliotece NLTK (Natural Language Toolkit) w wersjach 3.9.3 i wcześniejszych umożliwia nieuwierzytelnionemu atakującemu zdalne zatrzymanie lokalnego serwera HTTP WordNet Browser poprzez wysłanie żądania GET /SHUTDOWN%20THE%20SERVER. Powoduje to natychmiastowe zakończenie procesu za pomocą os._exit(0), co prowadzi do odmowy usługi (DoS).

Budibase to platforma niskokodowa do tworzenia narzędzi wewnętrznych, przepływów pracy i paneli administracyjnych. W wersjach od 3.30.6 i wcześniejszych, punkt końcowy podglądu zapytań źródła danych REST (POST /api/queries/preview) wykonuje żądania HTTP po stronie serwera do dowolnego URL dostarczonego przez użytkownika w polu fields.path bez walidacji.

SimpleJWT to prosta biblioteka JSON web token napisana w PHP. Przed wersją 1.1.1, nieautoryzowany atakujący mógł przeprowadzić atak typu Denial of Service poprzez manipulację nagłówkiem JWE, gdy używane były algorytmy PBES2.

SiYuan to system zarządzania wiedzą osobistą. W wersjach przed 3.6.2 serwer WebSocket jądra SiYuan akceptuje nieautoryzowane połączenia, gdy obecny jest określony parametr zapytania 'auth keepalive'. Po nawiązaniu połączenia, przychodzące wiadomości są analizowane przy użyciu niekontrolowanych asercji typów na JSON kontrolowanym przez atakującego.

Biblioteka HAPI FHIR przed wersją 6.9.0 wysyła te same nagłówki HTTP do wszystkich hostów podczas przekierowań, co może ujawnić poufne dane lub umożliwić podszywanie się pod klienta.

Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. Taka implementacja prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.

Interfejs programowania aplikacji WebSocket nie ma ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.

Interfejs programowania aplikacji WebSocket nie posiada ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.

Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. To prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.

Podatność CVE-2026-22163 dotyczy niewłaściwego użycia interfejsu IOCTL modułu jądra DDK przez złośliwe oprogramowanie. Umożliwia to modyfikację GPU w sposób pozwalający na zapisywanie do dowolnych stron pamięci fizycznej.

Statamic to system zarządzania treścią (CMS) oparty na Laravel i Git. Przed wersjami 5.73.14 i 6.7.0 istniała podatność na XSS typu stored w ponownym przesyłaniu zasobów SVG, która pozwalała uwierzytelnionym użytkownikom z uprawnieniami do przesyłania zasobów na ominięcie sanitizacji SVG i wstrzyknięcie złośliwego JavaScriptu, który był wykonywany podczas wyświetlania zasobu.

Allure 2 w wersji 2.x, narzędzie do raportowania testów, jest podatne na odczyt dowolnych plików poprzez przejście ścieżki w wersjach przed 2.38.0. Atakujący może stworzyć złośliwy plik wynikowy, który wskazuje na wrażliwy plik w systemie gospodarza, co skutkuje jego uwzględnieniem w końcowym raporcie.

ArcSearch dla systemu Android w wersjach przed 1.12.7 może wyświetlać inna domenę w pasku adresu niż treść, która jest pokazywana, co umożliwia oszustwo w pasku adresu po interakcji użytkownika z przygotowanymi treściami internetowymi.

W serwerze Feast Feature Server odkryto lukę w punkcie końcowym `/read-document`, która umożliwia nieuwierzytelnionemu zdalnemu atakującemu odczyt dowolnego pliku dostępnego dla procesu serwera. Poprzez wysłanie specjalnie spreparowanego żądania HTTP POST atakujący może ominąć zamierzone ograniczenia dostępu i potencjalnie uzyskać poufne pliki systemowe, konfiguracje aplikacji oraz dane uwierzytelniające.

W bibliotece libde265 (implementacja kodeka H.265) spreparowana jednostka NAL PPS powoduje błąd segmentacji w funkcji pic_parameter_set::set_derived_values(). Podatność naprawiono w wersji 1.0.17.

ScreenToGif to narzędzie do nagrywania ekranu, które w wersjach od 2.42.1 i wcześniejszych jest podatne na atak DLL sideloading poprzez plik version.dll. Gdy wykonywalny plik jest uruchamiany z katalogu zapisywalnego przez użytkownika, ładowany jest version.dll z katalogu aplikacji zamiast z katalogu System32 Windows, co pozwala na wykonanie dowolnego kodu w kontekście użytkownika.

W projekcie DeepDiff, od wersji 5.0.0 do przed wersją 8.6.2, mechanizm deserializacji _RestrictedUnpickler nie ogranicza argumentów konstruktora klas, które mogą być ładowane. To może prowadzić do sytuacji, w której niewielki ładunek pickle (40 bajtów) może wymusić alokację pamięci przekraczającą 10 GB, co powoduje awarie aplikacji.

Dynaconf to narzędzie do zarządzania konfiguracją w Pythonie. W wersjach przed 3.2.13, Dynaconf jest podatny na atak typu Server-Side Template Injection (SSTI) z powodu niebezpiecznej ewaluacji szablonów w resolverze @Jinja.

Socket.IO to otwartoźródłowy framework komunikacyjny w czasie rzeczywistym. W wersjach przed 3.3.5, 3.4.4 i 4.2.6, specjalnie skonstruowany pakiet Socket.IO może spowodować, że serwer będzie czekał na dużą liczbę binarnych załączników i buforował je, co może prowadzić do wyczerpania pamięci serwera.