Katalog podatności CVE

W wersjach przed 3.3.8, parser formularzy wieloczęściowych WebServer w arduino-esp32 alokuje tablicę o zmiennej długości na stosie, której rozmiar zależy od kontrolowanego przez atakującego pola nagłówka HTTP. Przekroczenie długości granicy większej niż ~8000 znaków prowadzi do przepełnienia stosu i potencjalnego wykonania zdalnego kodu.

django-s3file przed wersją 7.0.2 jest podatny na ataki typu traversal, które pozwalają atakującemu na ucieczkę z pre-signed upload locations i załadowanie plików z losowych lokalizacji do request.FILES. Może to prowadzić do problemów z poufnością i integralnością danych.

Exim w wersjach przed 4.99.3, w określonych konfiguracjach GnuTLS, ma podatność typu use-after-free w ścieżce analizy ciała BDAT. Może to prowadzić do uszkodzenia sterty, gdy klient wyśle powiadomienie TLS close_notify w trakcie transferu CHUNKING, a następnie ostatni bajt w czystym tekście na tym samym połączeniu TCP.

Pulpy to lekka, wieloplatformowa aplikacja do pakowania aplikacji webowych. W wersji przed 0.1.1, Pulpy wstrzykiwał API JavaScript pulpy.fs do każdej zapakowanej aplikacji webowej, co umożliwiało dostęp do systemu plików hosta. Funkcja validateFsPath() miała ograniczać ten dostęp, ale jej lista blokad była niekompletna.

ArcadeDB w wersjach od 21.10.1 do 26.4.1 zawiera dwie wady: (1) funkcja ServerSecurityUser.getDatabaseUser() zwraca użytkownika bazy z niezainicjalizowaną mapą dostępu do plików, co powoduje zezwolenie na wszystko; (2) metoda ArcadeDBServer.createDatabase() pomija ustawienie factory.setSecurity(...), przez co nowo utworzona baza danych ma wyłączoną autoryzację na poziomie rekordów. Uwierzytelniony użytkownik lub token API może odczytywać, zapisywać i modyfikować schemat w dowolnej bazie na tym samym serwerze.

Wersje serwera Relay od 0.9.0 do 0.9.6 zawierają lukę w autoryzacji w punktach końcowych WebSocket dla wielu dokumentów. Atakujący bez autoryzacji może uzyskać dostęp do zawartości dokumentów, jeśli zna lub zgadnie identyfikator dokumentu.

Wersje Adobe Connect 2025.9.15, 2025.8.157 i wcześniejsze są podatne na lukę w autoryzacji, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwych skryptów na stronę internetową.

Wersje Adobe Connect 2025.9.15, 2025.8.157 i wcześniejsze są podatne na lukę w deserializacji niezaufanych danych, co może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Atakujący może wykorzystać tę podatność, aby uruchomić dowolny kod.

WGDashboard, panel do zarządzania VPN WireGuard, przed wersją 4.3.2 zawierał krytyczne podatności, które mogły umożliwić nieautoryzowanym osobom dostęp do systemu plików hosta bez uwierzytelnienia.

W Fortinet FortiAuthenticator w wersjach 8.0.2, 8.0.0, 6.6.0 do 6.6.8 oraz 6.5.0 do 6.5.6 występuje podatność związana z niewłaściwą kontrolą dostępu. Może ona umożliwić atakującemu wykonanie nieautoryzowanego kodu lub poleceń za pomocą spreparowanych żądań.

W Pingvin Share X w wersjach od 1.14.1 do 1.16.2 występuje krytyczna podatność na obejście uwierzytelniania, która pozwala atakującemu, posiadającemu ważną nazwę użytkownika i hasło, całkowicie pominąć wymóg uwierzytelnienia dwuskładnikowego (TOTP). Podatność ta została naprawiona w wersji 1.16.3.

CVE-2026-44183 dotyczy narzędzia Cleanuparr, które automatyzuje usuwanie niechcianych plików w Sonarr, Radarr i obsługiwanych klientach pobierania. W wersjach przed 2.9.10, atakujący mógł wykorzystać nagłówek X-Forwarded-For do podszywania się pod adres IP klienta, co pozwalało na nieautoryzowany dostęp do konta administratora.

Nieprawidłowa kontrola generowania kodu ('iniekcja kodu') w Microsoft Dynamics 365 (wersja lokalna) pozwala autoryzowanemu atakującemu na wykonanie kodu w sieci.

Nieprawidłowa kontrola generowania kodu ('iniekcja kodu') w Microsoft Dynamics 365 (wersja lokalna) umożliwia autoryzowanemu atakującemu wykonanie kodu w sieci.

Nieprawidłowa kontrola dostępu w Azure Logic Apps umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.

DevGuard przed wersją 1.2.2 akceptuje nagłówek HTTP X-Admin-Token dostarczony przez klienta i używa jego surowej wartości jako identyfikatora użytkownika, gdy brak jest ciasteczka sesji Kratos. To pozwala nieautoryzowanemu atakującemu na wydawanie żądań jako dany użytkownik, co może prowadzić do przejęcia kontroli nad zasobami organizacji.

Langflow, narzędzie do budowania i wdrażania agentów AI, przed wersją 1.9.0 jest podatne na atak typu Path Traversal w API Baz Wiedzy (DELETE /api/v1/knowledge_bases). Atakujący może wykorzystać tę lukę do usunięcia dowolnych katalogów na serwerze.

Nieprawidłowa implementacja algorytmu uwierzytelniania w wtyczce Microsoft SSO dla Jira i Confluence umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.

W systemie Microsoft Windows DNS występuje przepełnienie bufora oparte na stercie, które może zostać wykorzystane przez nieautoryzowanego atakującego do wykonania kodu przez sieć.

Przepełnienie bufora na stosie w Windows Netlogon umożliwia nieautoryzowanemu atakującemu wykonanie kodu przez sieć.