Katalog podatności CVE

Podatność PHP Object Injection w OptionTree w wersjach do 2.7.3, wymagająca uprawnień edytora. Atakujący może wstrzyknąć zserializowane obiekty PHP, co może prowadzić do wykonania dowolnego kodu.

Podatność na odmowę usługi w bibliotece Expat do wersji 2.8.3. Funkcja storeAtts() w xmlparse.c ma złożoność kwadratową, co przy przetwarzaniu dokumentu XML z wieloma atrybutami o nieznormalizowanych wartościach prowadzi do nadmiernego zużycia CPU.

Podatność use-after-free w Valkey przed wersjami 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1. Polecenie RESTORE akceptuje uszkodzony strumień RDB, który przypisuje jeden NACK do wielu konsumentów, co może prowadzić do zdalnego wykonania kodu.

Podatność w bibliotece ONNX od wersji 1.3.0 do 1.22.0 pozwala na odczyt poza zakresem pamięci w funkcji Gemm_7_6::adapt_gemm_7_6() podczas konwersji wersji opset 7 do 6, gdy tensor wejściowy ma mniej niż dwie wymiary. Może to spowodować awarię procesu.

Podatność w sterowniku Watchdog Timer firmy Dell w wersjach przed 2.0.0.1. Ujawniony IOCTL z niewystarczającą kontrolą dostępu pozwala użytkownikowi z niskimi uprawnieniami na eskalację uprawnień.

W bibliotece yawkat LZ4 Java przed wersją 1.11.1 funkcje haszujące XXHash oparte na JNI nie sprawdzają poprawności tablicy bajtów oraz argumentów off i len, co pozwala na przekazanie pustych tablic lub zbyt dużych zakresów do kodu natywnego. Może to prowadzić do odczytu poza tablicą Java i awaryjnego zakończenia działania JVM. Problem został naprawiony w wersji 1.11.1.

Seroval przed wersją 1.5.3 umożliwia atakującemu kontrolowaną deserializację JSON, która może prowadzić do niepożądanych efektów ubocznych, a w połączeniu z frameworkami rejestrującymi wywoływalne wrappery – do niezamierzonego wykonania kodu po stronie serwera lub zdalnego wykonania kodu.

Podatność w Mastodonie przed wersjami 4.4.19 i 4.5.12. Plik ldap_authenticable.rb modyfikuje globalne parametry OpenSSL, gdy LDAP używa LDAP_TLS_NO_VERIFY=true, wyłączając weryfikację certyfikatów SSL/TLS dla procesów puma.

Valkey, rozproszona baza danych klucz-wartość, zawiera podatność use-after-free w funkcji tlsProcessPendingData. Uwierzytelniony klient może wywołać CLIENT KILL, co prowadzi do usunięcia węzła z listy i potencjalnie do awarii serwera lub zdalnego wykonania kodu, gdy TLS jest włączony. Problem został naprawiony w wersjach 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1.

Oh My Zsh, framework do zarządzania konfiguracją Zsh, ma podatność w pluginie dotenv. Po zmianie katalogu na folder zawierający plik .env, zawartość tego pliku jest wykonywana jako polecenia powłoki z uprawnieniami bieżącego użytkownika, nawet bez monitu, gdy ZSH_DOTENV_PROMPT=false lub po domyślnym potwierdzeniu. Problem został naprawiony w wersjach wydanych po 2026-05-28.

W goshs, prostym serwerze HTTP napisanym w Go, przed wersją 2.1.0 funkcja ShareHandler odczytuje limit pobrań tokenu pod blokadą RLock, zwalnia blokadę, serwuje plik, a następnie ponownie ją przejmuje, aby zwiększyć licznik. Współbieżne żądania odczytują ten sam stan i wszystkie przechodzą kontrolę, co pozwala przekroczyć zamierzony limit. Wersja 2.1.0 naprawia ten problem.

goshs, prosty serwer HTTP napisany w Go, nie egzekwuje flag ograniczających tryb (--read-only, --upload-only, --no-delete) na porcie WebDAV, gdy włączono WebDAV (-w). Uwierzytelniony klient WebDAV może wykonywać operacje PUT, DELETE, MKCOL, MOVE i COPY, mimo że operator tego nie chce. Problem naprawiono w wersji 2.1.0.

SSH.NET, biblioteka SSH dla .NET, ma podatność w ScpClient.Download, która ufa nazwom plików i katalogów zwracanym przez zdalny serwer SCP. Złośliwy lub przejęty serwer może użyć sekwencji ../ lub ścieżek bezwzględnych do tworzenia lub nadpisywania plików w dowolnym miejscu zapisywalnym przez proces klienta. Problem naprawiono w wersji 2026.0.0.

Trilium Notes, aplikacja do notatek hierarchicznych, ma podatność XSS w wartości #iconClass, która jest wstawiana bez kodowania atrybutów HTML. Przechowywany payload może wykonać się automatycznie, gdy ofiara otworzy nową kartę lub użyje Ctrl+J, a dzięki włączonemu nodeIntegration i wyłączonemu contextIsolation w Electron, może uruchomić polecenia systemowe. Problem naprawiono w wersji 0.103.0.

OttoKit w wersjach do 1.1.35 zawiera podatność Server Side Request Forgery (SSRF) bez uwierzytelnienia. Atakujący może wysyłać żądania z serwera do wewnętrznych zasobów.

ThumbPress w wersjach starszych niż 6.5 zawiera podatność Broken Access Control bez uwierzytelnienia. Niezalogowani użytkownicy mogą wykonywać operacje, do których nie mają uprawnień.

BP Better Messages w wersjach do 2.15.22 zawiera podatność Cross Site Scripting (XSS) bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Ezoic w wersjach do 2.22.11 zawiera podatność Broken Authentication bez uwierzytelnienia. Atakujący może obejść mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp.

Użytkownik z rolą Współautor (Contributor) może przesłać dowolny plik w wtyczce Templatiq w wersjach do 0.2.5.

PDF Smart Viewer for Elementor w wersjach do 1.0.4 zawiera podatność Server Side Request Forgery (SSRF) bez uwierzytelnienia. Atakujący może wysyłać żądania z serwera do wewnętrznych zasobów.