Katalog podatności CVE

Podatność na odmowę usługi w bibliotece Expat do wersji 2.8.3. Funkcja storeAtts() w xmlparse.c ma złożoność kwadratową, co przy przetwarzaniu dokumentu XML z wieloma atrybutami o nieznormalizowanych wartościach prowadzi do nadmiernego zużycia CPU.

Podatność use-after-free w Valkey przed wersjami 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1. Polecenie RESTORE akceptuje uszkodzony strumień RDB, który przypisuje jeden NACK do wielu konsumentów, co może prowadzić do zdalnego wykonania kodu.

Podatność w bibliotece ONNX od wersji 1.3.0 do 1.22.0 pozwala na odczyt poza zakresem pamięci w funkcji Gemm_7_6::adapt_gemm_7_6() podczas konwersji wersji opset 7 do 6, gdy tensor wejściowy ma mniej niż dwie wymiary. Może to spowodować awarię procesu.

Podatność w sterowniku Watchdog Timer firmy Dell w wersjach przed 2.0.0.1. Ujawniony IOCTL z niewystarczającą kontrolą dostępu pozwala użytkownikowi z niskimi uprawnieniami na eskalację uprawnień.

W bibliotece yawkat LZ4 Java przed wersją 1.11.1 funkcje haszujące XXHash oparte na JNI nie sprawdzają poprawności tablicy bajtów oraz argumentów off i len, co pozwala na przekazanie pustych tablic lub zbyt dużych zakresów do kodu natywnego. Może to prowadzić do odczytu poza tablicą Java i awaryjnego zakończenia działania JVM. Problem został naprawiony w wersji 1.11.1.

Seroval przed wersją 1.5.3 umożliwia atakującemu kontrolowaną deserializację JSON, która może prowadzić do niepożądanych efektów ubocznych, a w połączeniu z frameworkami rejestrującymi wywoływalne wrappery – do niezamierzonego wykonania kodu po stronie serwera lub zdalnego wykonania kodu.

Podatność w Mastodonie przed wersjami 4.4.19 i 4.5.12. Plik ldap_authenticable.rb modyfikuje globalne parametry OpenSSL, gdy LDAP używa LDAP_TLS_NO_VERIFY=true, wyłączając weryfikację certyfikatów SSL/TLS dla procesów puma.

Valkey, rozproszona baza danych klucz-wartość, zawiera podatność use-after-free w funkcji tlsProcessPendingData. Uwierzytelniony klient może wywołać CLIENT KILL, co prowadzi do usunięcia węzła z listy i potencjalnie do awarii serwera lub zdalnego wykonania kodu, gdy TLS jest włączony. Problem został naprawiony w wersjach 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1.

Oh My Zsh, framework do zarządzania konfiguracją Zsh, ma podatność w pluginie dotenv. Po zmianie katalogu na folder zawierający plik .env, zawartość tego pliku jest wykonywana jako polecenia powłoki z uprawnieniami bieżącego użytkownika, nawet bez monitu, gdy ZSH_DOTENV_PROMPT=false lub po domyślnym potwierdzeniu. Problem został naprawiony w wersjach wydanych po 2026-05-28.

W goshs, prostym serwerze HTTP napisanym w Go, przed wersją 2.1.0 funkcja ShareHandler odczytuje limit pobrań tokenu pod blokadą RLock, zwalnia blokadę, serwuje plik, a następnie ponownie ją przejmuje, aby zwiększyć licznik. Współbieżne żądania odczytują ten sam stan i wszystkie przechodzą kontrolę, co pozwala przekroczyć zamierzony limit. Wersja 2.1.0 naprawia ten problem.

goshs, prosty serwer HTTP napisany w Go, nie egzekwuje flag ograniczających tryb (--read-only, --upload-only, --no-delete) na porcie WebDAV, gdy włączono WebDAV (-w). Uwierzytelniony klient WebDAV może wykonywać operacje PUT, DELETE, MKCOL, MOVE i COPY, mimo że operator tego nie chce. Problem naprawiono w wersji 2.1.0.

SSH.NET, biblioteka SSH dla .NET, ma podatność w ScpClient.Download, która ufa nazwom plików i katalogów zwracanym przez zdalny serwer SCP. Złośliwy lub przejęty serwer może użyć sekwencji ../ lub ścieżek bezwzględnych do tworzenia lub nadpisywania plików w dowolnym miejscu zapisywalnym przez proces klienta. Problem naprawiono w wersji 2026.0.0.

Trilium Notes, aplikacja do notatek hierarchicznych, ma podatność XSS w wartości #iconClass, która jest wstawiana bez kodowania atrybutów HTML. Przechowywany payload może wykonać się automatycznie, gdy ofiara otworzy nową kartę lub użyje Ctrl+J, a dzięki włączonemu nodeIntegration i wyłączonemu contextIsolation w Electron, może uruchomić polecenia systemowe. Problem naprawiono w wersji 0.103.0.

OttoKit w wersjach do 1.1.35 zawiera podatność Server Side Request Forgery (SSRF) bez uwierzytelnienia. Atakujący może wysyłać żądania z serwera do wewnętrznych zasobów.

ThumbPress w wersjach starszych niż 6.5 zawiera podatność Broken Access Control bez uwierzytelnienia. Niezalogowani użytkownicy mogą wykonywać operacje, do których nie mają uprawnień.

BP Better Messages w wersjach do 2.15.22 zawiera podatność Cross Site Scripting (XSS) bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Ezoic w wersjach do 2.22.11 zawiera podatność Broken Authentication bez uwierzytelnienia. Atakujący może obejść mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp.

Użytkownik z rolą Współautor (Contributor) może przesłać dowolny plik w wtyczce Templatiq w wersjach do 0.2.5.

PDF Smart Viewer for Elementor w wersjach do 1.0.4 zawiera podatność Server Side Request Forgery (SSRF) bez uwierzytelnienia. Atakujący może wysyłać żądania z serwera do wewnętrznych zasobów.

Wtyczka Online Contact Widget w wersjach do 1.3.0 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Oznacza to, że osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji, które powinny być chronione.