Katalog podatności CVE

Zidentyfikowano podatność na zdalne wykonanie kodu (RCE) w konsoli administracyjnej GlassFish. Użytkownik mający dostęp do panelu może wysłać spreparowane żądania, które umożliwiają wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami użytkownika usługi aplikacji. Problem dotyczy Eclipse GlassFish: od 8.0.0 do 8.0.1 (poprawione w 8.0.2), 7.1.0 (poprawione w 7.1.1), od 7.0.0 do 7.0.25 (poprawione w 7.0.26). Wpływ na wersje od 5.1.0 do 6.2.5 jest nieznany.

Podatność CVE-2026-8959 dotyczy błędu w warunkach granicznych w komponencie Widget: Win32, co umożliwia ucieczkę z piaskownicy. Została naprawiona w wersjach Firefox 151, Firefox ESR 140.11, Thunderbird 151 oraz Thunderbird 140.11.

Przepełnienie całkowitej liczby w komponencie sieciowym JAR. Ta podatność została naprawiona w Firefox 151, Firefox ESR 140.11, Thunderbird 151 oraz Thunderbird 140.11.

Podatność typu 'sandbox escape' występuje z powodu błędu 'use-after-free' w komponencie API dostępu dla osób z niepełnosprawnościami. Została naprawiona w wersjach Firefox 151, Firefox ESR 115.36, Firefox ESR 140.11, Thunderbird 151 oraz Thunderbird 140.11.

Podatność umożliwiająca obejście polityki tego samego pochodzenia w komponencie Networking: HTTP. Została naprawiona w Firefox 151, Firefox ESR 140.11, Thunderbird 151 oraz Thunderbird 140.11.

Podatność w komponencie Networking przeglądarki Firefox i klienta poczty Thunderbird umożliwia obejście polityki same-origin (SOP) w modelu DOM. Luka została naprawiona w wersjach 151 obu produktów.

Podatność w Apache Camel pozwala na wstrzykiwanie nagłówków wewnętrznych przez niezaufane żądania HTTP do endpointów CXF i Knative. Brak filtrowania przychodzących nagłówków umożliwia atakującemu nadpisanie kluczowych nagłówków Camel, co może prowadzić do zdalnego wykonania kodu lub zapisu dowolnych plików.

HestiaCP w wersjach od 1.9.0 do 1.9.4 zawiera podatność deserializacji w komponencie terminala webowego, spowodowaną niezgodnością formatu sesji między PHP a Node.js. Umożliwia ona nieuwierzytelnionym zdalnym atakującym wykonanie kodu na poziomie roota poprzez wstrzyknięcie spreparowanych danych do nagłówków HTTP.

Wtyczka Piotnet Forms dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'piotnetforms_ajax_form_builder' w wersjach do 2.1.40 włącznie. Wtyczka używa niekompletnej czarnej listy rozszerzeń, co pozwala na przesyłanie niebezpiecznych plików.

W jądrze Linuxa wykryto podatność w module pcrypt, która nieprawidłowo obsługuje żądania z flagą MAY_BACKLOG. Żądania te mogą zwracać kod błędu EBUSY, co wymaga odpowiedniego sprawdzenia i odfiltrowania powiadomień EINPROGRESS.

Rozszerzenie przekazuje ciasteczko kontrolowane przez atakującego bezpiecznie przetwarzając dane do funkcji PHP unserialize(). Zdalny, nieautoryzowany atakujący może dostarczyć spreparowany ładunek, co prowadzi do wstrzyknięcia obiektów PHP i zdalnego wykonania kodu na serwerze TYPO3.

W podatności CVE-2026-45434 w Apache OFBiz występuje błąd w logice zmiany hasła, który może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji przed 24.09.06.

W podatności CVE-2026-41919 występuje niewłaściwa neutralizacja specjalnych elementów używanych w zapytaniach LDAP, co prowadzi do podatności na ataki typu LDAP Injection w Apache OFBiz.

Podatność związana z użyciem zakodowanego klucza kryptograficznego w Apache OFBiz. Problem dotyczy wersji przed 24.09.06.

W MLflow w wersji 3.9.0 funkcja Asystenta MLflow zawiera podatność polegającą na nieprawidłowej walidacji pochodzenia żądań w punktach końcowych /ajax-api. Umożliwia to zdalnemu atakującemu wykorzystanie żądań międzyoriginowych ze złośliwej strony internetowej do interakcji z Asystentem MLflow działającym na lokalnym komputerze ofiary.

Wtyczka Piotnet Addons for Elementor Pro dla WordPress do wersji 7.1.70 włącznie ma podatność na dowolne przesyłanie plików z powodu niekompletnej czarnej listy rozszerzeń – blokuje tylko php, phpt, php5, php7 i exe, ale pozwala na .phar i .phtml.

W sterowniku amazon-redshift-python-driver przed wersją 2.1.14, funkcja vector_in() używa niebezpiecznej funkcji eval() na danych otrzymanych z serwera. Pozwala to złośliwemu serwerowi lub atakującemu typu man-in-the-middle na wykonanie dowolnego kodu na kliencie. Aby usunąć podatność, należy zaktualizować sterownik do wersji 2.1.14.

Dokploy w wersji 0.26.6 i niższych ma podatność na wstrzykiwanie poleceń OS przez parametr appName z powodu niedostatecznego oczyszczania danych wejściowych i interpolacji w powłoce.

WebdriverIO w wersjach poniżej 9.24.0 zawiera podatność na wstrzyknięcie komend, prowadzącą do zdalnego wykonania kodu (RCE) podczas orkiestracji testów. Git pozwala na używanie znaków specjalnych w nazwach gałęzi, a funkcja getGitMetadataForAISelection() używa tych nazw bezpośrednio w wywołaniach execSync() bez sanityzacji. Atakujący może wykorzystać złośliwe repozytorium z odpowiednio spreparowaną nazwą gałęzi, aby wykonać dowolny kod na serwerach CI/CD i maszynach deweloperskich.

W bibliotece lwIP do wersji 2.2.1 znaleziono podatność w funkcji snmp_parse_inbound_frame pliku src/apps/snmp/snmp_msg.c komponentu obsługi SNMPv3 USM. Manipulacja argumentem msgAuthenticationParameters prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie. Dostępna jest poprawka o nazwie 0c957ec03054eb6c8205e9c9d1d05d90ada3898c.