Katalog podatności CVE

W podatności CVE-2026-0300 występuje przepełnienie bufora w usłudze User-ID™ Authentication Portal oprogramowania Palo Alto Networks PAN-OS, co pozwala nieautoryzowanemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota na zaporach PA-Series i VM-Series poprzez wysyłanie specjalnie skonstruowanych pakietów.

Podatność w Apache::Session::Generate::ModUniqueId w wersjach od 1.54 do 1.94 dla Perla powoduje, że identyfikatory sesji są generowane w oparciu o zmienną środowiskową UNIQUE_ID, która pochodzi z mod_unique_id Apache. Identyfikator ten opiera się na adresie IPv4, PID, czasie epoki, 16-bitowym liczniku i indeksie wątku, bez żadnego zaciemniania, co czyni go przewidywalnym.

W jądrze Linuxa zidentyfikowano podatność, która została rozwiązana. Problem dotyczy przekazywania flow_id do funkcji set_rps_cpu(), co może prowadzić do dostępu poza granice oraz awarii systemu.

W jądrze Linux wykryto błąd w funkcji tcp_v6_syn_recv_sock(), który powoduje wyścig (race condition). Po wywołaniu tcp_v4_syn_recv_sock() gniazdo potomne jest już widoczne w tablicy ehash TCP, ale wskaźnik pinet6 nadal wskazuje na struktury gniazda nasłuchującego, co może prowadzić do nieprawidłowego działania.

W jądrze Linux wykryto podatność w netconsole, gdzie komunikat przekazywany z podsystemu konsoli nie jest gwarantowanie zakończony znakiem null, co prowadzi do odczytu poza granicami bufora (OOB). Problem został zaobserwowany przez KASAN jako slab-out-of-bounds podczas przetwarzania wiadomości.

W jądrze Linux w funkcji dlm_search_rsb_tree brakuje walidacji długości parametru len, który pochodzi z komunikatów sieciowych. Gdy przekracza DLM_RESNAME_MAXLEN, może prowadzić do zapisu poza dozwolonym obszarem pamięci.

W jądrze Linuxa rozwiązano podatność związaną z systemem plików btrfs, która występowała w funkcji btrfs_sync_file(). Użycie overlay na btrfs prowadziło do błędnego przypisania superbloku, co mogło skutkować awarią systemu.

W jądrze Linuxa w implementacji AVX2 dla zestawów pipapo w netfilter wykryto błąd, który powoduje zwracanie niepasujących wpisów podczas wygasania. Problem występuje, gdy funkcje dopasowujące AVX2 przetwarzają ostatnie pole, nie konsumując całego wejścia, co prowadzi do błędnego raportowania kolizji elementów.

W jądrze systemu Linux zidentyfikowano podatność, która prowadzi do dostępu poza granice tablicy dev->_tx[], gdy trace->type.bit6 jest ustawione, a is_input jest prawdziwe. Problem ten występuje, gdy urządzenie wejściowe ma więcej kolejek RX niż urządzenie wyjściowe TX.

Brak wywołania metody zmiany identyfikatora sesji po powiązaniu sesji w Apache Wicket może być wykorzystany do ataku typu session fixation.

Podatność przepełnienia bufora sterty w module mod_proxy_ajp serwera Apache HTTP Server. Jeśli mod_proxy_ajp łączy się ze złośliwym serwerem AJP, serwer ten może wysłać złośliwą wiadomość AJP, powodując zapis 4 bajtów kontrolowanych przez atakującego poza koniec bufora sterty.

CoreDNS w wersjach przed 1.14.3 nieprawidłowo obsługuje uwierzytelnianie TSIG w transportach gRPC, QUIC, DoH i DoH3. W przypadku gRPC i QUIC serwer sprawdza tylko nazwę klucza TSIG, ale nie weryfikuje HMAC, przez co każde żądanie z pasującą nazwą klucza jest uznawane za uwierzytelnione. W przypadku DoH i DoH3 problem jest poważniejszy – serwer w ogóle nie sprawdza rekordu TSIG, więc każde żądanie z TSIG jest traktowane jako uwierzytelnione.

Masa CMS w wersjach 7.2.0-7.2.9, 7.3.0-7.3.14, 7.4.0-7.4.9 i 7.5.0-7.5.2 zawiera podatność na wstrzykiwanie SQL w nieuwierzytelnionym interfejsie JSON API. Parametr altTable jest wstrzykiwany bezpośrednio do klauzuli FROM zapytania SQL, co pozwala nieuwierzytelnionemu atakującemu na odczyt wrażliwych danych z dowolnej tabeli.

Masa CMS to system zarządzania treścią open source. W wersjach 7.2.0 do 7.2.9, 7.3.0 do 7.3.14, 7.4.0 do 7.4.9 i 7.5.0 do 7.5.2 istnieje luka SQL injection w komponencie beanFeed.cfc w funkcji getQuery przy obsłudze parametru sortDirection. Wartość parametru jest konkatenowana bezpośrednio do zapytań SQL bez sanityzacji lub parametryzacji. Nieuwierzytelniony zdalny atakujący może to wykorzystać do wyodrębnienia wrażliwych informacji, modyfikacji lub usunięcia rekordów bazy danych, lub potencjalnie do zdalnego wykonania kodu na serwerze bazy danych.

Masa CMS to system zarządzania treścią open source. W wersjach 7.5.2 i wcześniejszych istnieje podatność na iniekcję SQL w komponencie beanFeed.cfc w funkcji getQuery podczas przetwarzania parametru sortBy. Aplikacja nie czyści ani nie parametryzuje tego wejścia przed użyciem w dynamicznych zapytaniach SQL. Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia SQL w bazie danych, potencjalnie uzyskując dostęp do wrażliwych danych, modyfikując lub usuwając rekordy, lub eskalując uprawnienia do poziomu administracyjnego. Problem został naprawiony w wersjach 7.2.10, 7.3.15, 7.4.10 i 7.5.3. Obejściem jest skonfigurowanie reguł WAF blokujących złośliwe wzorce SQL w parametrze sortBy wysyłanym do beanFeed.cfc.

PhpSpreadsheet w wielu wersjach (do 1.30.2, 2.0.0-2.1.14, 2.2.0-2.4.3, 3.3.0-3.10.3, 4.0.0-5.5.0) jest podatny na zdalne wykonanie kodu (RCE) poprzez kontrolowany przez użytkownika argument filename w IOFactory::load(). Atakujący może podać ścieżkę strumienia PHP (np. phar://, ftp://, ssh2.sftp://), która przechodzi kontrolę is_file() w File::assertFile(). Wrapper phar:// wyzwala deserializację metadanych PHAR, co może prowadzić do RCE, jeśli dostępny jest odpowiedni gadżet.

Router D-Link DI-8100 w wersji 16.07.26A1 zawiera podatność na przepełnienie bufora w funkcji url_rule_asp pliku /url_rule.asp w komponencie POST Parameter Handler. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Kestra w wersji 1.3.3 i wcześniejszych jest podatna na wstrzykiwanie SQL. Podatność wynika z bezpośredniego konkatenowania danych wejściowych użytkownika z parametru GET do zapytania SQL bez odpowiedniego oczyszczania lub parametryzacji.

W OpenCTI, w wersjach od 6.6.0 do 6.9.12, występuje podatność na eskalację uprawnień, która może być wykorzystana przez nieautoryzowanych atakujących do zapytań do API jako dowolny istniejący użytkownik, w tym domyślne konto administratora.

W routerze D-Link DI-8100 w wersji 16.07.26A1 stwierdzono podatność na przepełnienie bufora w funkcji sprintf w pliku /auto_reboot.asp. Manipulacja argumentami enable/time może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony.