Katalog podatności CVE

libcurl przypadkowo pomija weryfikację certyfikatu dla połączeń QUIC, gdy łączy się z hostem podanym jako adres IP w URL. W związku z tym nie wykrywa oszustów ani ataków man-in-the-middle.

Funkcja curl_url_get() w libcurl oferuje konwersje punycode do i z IDN. Przy konwersji nazwy o dokładnie 256 bajtach, libcurl czyta poza buforem na stosie, gdy używany jest backend IDN macidn.

Podatność w bibliotece libfuse w wersjach od 3.18.0 do 3.18.1 powoduje wyłuskanie wskaźnika NULL i wyciek pamięci w funkcji fuse_uring_init_queue. Lokalny użytkownik może wykorzystać ten błąd do awarii demona FUSE lub wyczerpania zasobów systemowych.

W jądrze Linuxa wykryto lukę w mechanizmie zapobiegającym zagłodzeniu przerwań czasomierza. Brak resetowania flagi next_event_forced w kilku miejscach, np. przy zmianie stanu zdarzenia zegarowego, może prowadzić do nieprawidłowego działania.

W jądrze Linux wykryto podatność w KVM dla AMD SEV-SNP. Podczas finalizacji uruchamiania gościa SNP, synchronizacja i szyfrowanie VMSA (Virtual Machine Save Area) nie blokuje wszystkich vCPU, co pozwala użytkownikowi na manipulację lub uruchomienie vCPU w trakcie synchronizacji jego stanu.

Doradztwo bezpieczeństwa GHSA-2hw4-c9m4-f2fj dotyczy komponentu knative/pkg. Weryfikacja z 19 maja 2026 potwierdziła end-to-end wzmocnienie ataku (amplifikację) na poziomie 4,5×, co jest wynikiem gorszym niż konserwatywne 2× deklarowane w doradztwie. Zbudowano dowód koncepcji w Go (cmd/poc-c2/main.go).

W Axios 1.5.1 wykryto problem, który nieumyślnie ujawnia poufny token XSRF-TOKEN przechowywany w ciasteczkach. Token ten jest dołączany do nagłówka HTTP X-XSRF-TOKEN w każdym żądaniu wysyłanym do dowolnego hosta, co pozwala atakującym na podejrzenie wrażliwych informacji.

Funkcja html.Parse w pakiecie golang.org/x/net/html ma kwadratową złożoność parsowania dla specjalnie spreparowanych danych wejściowych HTML, co może prowadzić do odmowy usługi (DoS).

Brak dostępnego opisu podatności CVE-2026-6502. Nie można określić charakteru zagrożenia.

W emulacji kontrolera SCSI LSI53C895A w QEMU wykryto podatność use-after-free. Może ona prowadzić do awarii lub ucieczki z maszyny wirtualnej.

Moduł email w Pythonie, a konkretnie klasa BytesGenerator, nieprawidłowo cytuje znaki nowej linii w nagłówkach wiadomości podczas serializacji, co umożliwia wstrzyknięcie nagłówka. Problem dotyczy tylko użycia LiteralHeader, które nie respektuje składania nagłówków.

W jądrze Linux w sterowniku bnge wykryto podatność polegającą na braku instrukcji return po wywołaniu auxiliary_device_uninit() w ścieżce błędu. Po niepowodzeniu auxiliary_device_add() funkcja kontynuuje wykonywanie, co może prowadzić do użycia zwolnionej pamięci.

Funkcja html.Parse w pakiecie golang.org/x/net/html wchodzi w nieskończoną pętlę podczas przetwarzania specjalnie spreparowanych danych wejściowych HTML. Atakujący może wykorzystać tę podatność do przeprowadzenia ataku typu odmowa usługi (DoS).

Podatność w oprogramowaniu układowym AMD Secure Encrypted Virtualization (SEV) wynika z nieprawidłowej inicjalizacji, co pozwala atakującemu z uprawnieniami administratora na uszkodzenie pamięci objętej RMP. Może to prowadzić do naruszenia integralności pamięci gościa.

Sterownik mongo-go-driver zawiera podatność polegającą na odczycie poza dozwolonym obszarem sterty w implementacji CGo dla uwierzytelniania GSSAPI (Kerberos) w systemach Linux i macOS. Problem wynika z błędnego założenia o zakończeniu ciągów znaków w standardzie GSSAPI, co może prowadzić do ujawnienia danych.

Podatność w oprogramowaniu układowym AMD Secure Encrypted Virtualization (SEV) umożliwia złośliwemu hypervisorowi ominięcie ochrony RMP, co może prowadzić do naruszenia integralności pamięci gościa SEV-SNP.

Podatność w oprogramowaniu sprzętowym SEV (Secure Encrypted Virtualization) powoduje niepełne czyszczenie danych w komponencie sprzętowym, co skutkuje niecałkowitym opróżnieniem IOMMU. Może to prowadzić do naruszenia poufności i integralności pamięci gościa.

W jądrze Linux wykryto podatność w systemie plików F2FS polegającą na dostępie do niezainicjalizowanej wartości w funkcji f2fs_sanity_check_node_footer. Problem został zgłoszony przez narzędzie syzbot i może prowadzić do nieprzewidywalnego zachowania systemu.

Podatność use-after-free w oprogramowaniu SEV (Secure Encrypted Virtualization) umożliwia złośliwemu hypervisorowi aktywację zmigrowanego gościa z polityką SINGLE_SOCKET na innym gnieździe niż agent migracji, co może prowadzić do utraty integralności.

W jądrze Linux wykryto podatność w komponencie mshv_vtl, gdzie podczas rejestracji pamięci VTL0 przez MSHV_ADD_VTL0_MEMORY, obliczona wartość vmemmap_shift może przekroczyć MAX_FOLIO_ORDER, co prowadzi do nieprawidłowego działania.