Katalog podatności CVE

Fluent Forms Pro 6.2.7 zawiera podatność związaną z wbudowanym złośliwym kodem, wprowadzonym przez zmodyfikowaną kompilację wtyczki serwowaną przez wycofany serwer aktualizacji. Zmodyfikowana kompilacja dodała złośliwy plik PHP (libs/class-license-sync.php), ładowany przez dyrektywę require_once dodaną do fluentformpro.php, który utworzył backdoor REST API, umieścił trwałe pliki PHP w katalogach mu-plugins i uploads, zainstalował konto administratora bez hasła oraz zarejestrował zaplanowane zadania, które przetrwały usunięcie wtyczki.

PostGIS przed wersją 3.7.0beta2 zawiera podatność odczytu poza zakresem, która pozwala atakującym na ujawnienie pamięci lub awarię serwera poprzez dostarczenie nieprawidłowego bufora FlatGeobuf. Dekoder metadanych właściwości FlatGeobuf weryfikuje obecność pola długości stringa, ale nie sprawdza, czy treść stringa znajduje się w dostarczonym buforze przed zmaterializowaniem go do wartości widocznej w SQL, co umożliwia ujawnienie pamięci lub odmowę usługi.

Rozszerzenie address_standardizer dla PostGIS do wersji 3.7.0, naprawione w commicie 423570b, zawiera podatność zapisu poza zakresem, która pozwala użytkownikowi bazy danych, mającemu możliwość dostarczania nazw relacji kontrolowanych przez wywołującego do standardize_address(), na wywołanie uszkodzenia pamięci poprzez podanie tabeli reguł z wartością Type klasyfikacji przekraczającą ustalony zakres klas. Atakujący mogą stworzyć złośliwy wpis tabeli reguł z nadmierną wartością typu reguły, która jest używana bez sprawdzania granic jako indeks do wewnętrznej tabeli linków wyjściowych, co skutkuje zapisem poza zakresem.

CVE-2026-55401 to podatność na dereferencję null w podsystemie równoważenia obciążenia serwerów Secure Access przed wersją 14.57. Atakujący może wysłać nieuwierzytelniony pakiet do serwera Secure Access z włączonym równoważeniem obciążenia, co powoduje awarię wewnętrznego load balancera. Po udanym ataku serwer Secure Access nadal może przyjmować połączenia i może wydać failover dla podłączonych klientów.

CVE-2026-55400 to podatność na niedomiar liczby całkowitej w serwerach Secure Access przed wersją 14.57. Atakujący z uwierzytelnioną sesją może wysłać specjalnie spreparowany ruch do serwera w nie domyślnej konfiguracji i spowodować trwałą odmowę usługi.

Podatność na cross-site scripting w rendererze Markdown w maalfer Pentestify przed wersją 2.3.2 pozwala uwierzytelnionym użytkownikom na wykonanie dowolnego JavaScript w kontekście aplikacji poprzez link Markdown, którego URL zawiera cudzysłów, co zamyka atrybut href kotwicy, ponieważ proces sanityzacji nie escapuje cudzysłowów.

Podatność znaleziona w SourceCodester Simple Student Information System. Dotyczy nieznanej funkcjonalności pliku app/admin/departments/view_department.php. Manipulacja argumentem ID powoduje SQL injection. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.

Perl w wersjach od 5.9.4 do przed 5.41.9 generuje nieprawidłowe wyniki dopasowania wyrażeń regularnych, gdy nieaktualna flaga błędu kończy przedwcześnie prescan Aho-Corasick w S_find_byclass. Może to prowadzić do pominięcia dopasowań lub dopasowania na złej gałęzi.

W vLLM przed wersją 0.27.0 występuje przepełnienie liczby całkowitej w wyrażeniu blockIdx.x * 2 * d w activation_kernels.cu, co może spowodować, że kernel act_and_mul_kernel zużyje dane wejściowe innego użytkownika w tej samej partii, umożliwiając żądaniu przetwarzanemu w tej samej partii wnioskowania otrzymanie częściowej lub pełnej kopii wyniku wnioskowania innego użytkownika. Problem naprawiono w wersji 0.27.0.

W vLLM od wersji 0.20.2rc0 do 0.26.0 funkcja safe_load_prompt_embeds w vllm/renderers/embed_utils.py używa torch.sparse.check_sparse_tensor_invariants, którego globalny stan zapisu, włączenia i przywracania może być wyścigowany przez równoczesne części prompt_embeds przesyłane do POST /v1/chat/completions przez AsyncMultiModalItemTracker.resolve_items, asyncio.gather i domyślny executor, co pozwala na dotarcie nieprawidłowego rzadkiego tensora do tensor.to_dense pomimo zabezpieczenia CVE-2025-62164, gdy włączona jest opcja enable_prompt_embeds. Problem naprawiono w wersji 0.26.0.

W vLLM przed wersją 0.26.0 parametr structured_outputs.regex w vllm/v1/structured_output/backend_lm_format_enforcer.py jest przekazywany do lmformatenforcer.RegexParser bez compile_regex_with_timeout lub walidacji w validate_structured_output_request_lm_format_enforcer, co pozwala nieuwierzytelnionemu żądaniu /v1/completions przeciwko backendowi lm-format-enforcer na zużycie rdzenia CPU i zablokowanie ścieżki silnika strukturalnego wyjścia za pomocą katastrofalnego wyrażenia regularnego. Problem naprawiono w wersji 0.26.0.

W vLLM przed wersją 0.26.0 funkcja validation_exception_handler w vllm/entrypoints/openai/server_utils.py konwertuje obiekty FastAPI RequestValidationError za pomocą str(exc), a sanitize_message w vllm/entrypoints/utils.py nie usuwa ścieżek plików w stylu traceback, co pozwala nieuwierzytelnionym żądaniom z nieprawidłowym JSON do /v1/chat/completions, /v1/completions, /tokenize i /detokenize na ujawnienie nazwy użytkownika systemu, ścieżek domowych i środowisk wirtualnych, wersji Pythona, wewnętrznej struktury pakietów, numerów linii i nazw handlerów endpointów. Problem naprawiono w wersji 0.26.0.

OpenList, program do listowania plików obsługujący wiele magazynów, przed wersją 4.2.4, w uwierzytelnionym handlerze /api/fs/batch_rename w server/handles/fsbatch.go autoryzuje tylko katalog źródłowy utworzony przez user.JoinPath(req.SrcDir) i waliduje renameObject.NewName za pomocą checkRelativePath, ale nie waliduje kontrolowanego przez atakującego renameObject.SrcName, dostarczanego jako src_name, przed połączeniem go z autoryzowaną ścieżką i przekazaniem wyniku do fs.Rename. Użytkownik z uprawnieniami do zmiany nazw może użyć segmentów traversal w src_name, aby normalizacja ścieżki wybrała plik poza autoryzowanym katalogiem i skonfigurowaną ścieżką bazową, co skutkuje utratą integralności plików między użytkownikami, ograniczonym wpływem na dostępność i ujawnieniem istnienia plików poprzez odpowiedzi sukcesu lub błędu. Problem naprawiono w wersji 4.2.4.

Netty przed wersjami 4.1.136.Final i 4.2.16.Final nie zwalniał obiektów ByteBuf w kodzie DNS, gdy nieprawidłowa nazwa domeny została odrzucona przez IDN.toASCII() lub encodeDomainName(). Zdalne pakiety DNS mogą stopniowo wyciekać pamięć bezpośrednią, prowadząc do odmowy usługi.

Netty przed wersjami 4.1.136.Final i 4.2.16.Final zawiera podatność w XmlFrameDecoder.decode(), która nie zachowuje stanu parsera dla znaczników zamykających między wywołaniami. Zdalny, nieuwierzytelniony atakujący może wysyłać powtarzające się sekwencje </, powodując wielokrotne skanowanie bufora i wyczerpanie CPU wątku EventLoop, co prowadzi do odmowy usługi przy maxFrameLength 1 MB.

Oh My Posh przed wersją 29.35.1 nie usuwa znaków kontrolnych terminala (takich jak ESC, BEL, CSI, OSC) z nazw katalogów i metadanych Git podczas renderowania promptu. Umożliwia to wstrzyknięcie sekwencji sterujących terminala, co może prowadzić do nadpisania schowka, spoofowania promptu lub ekranu, manipulacji tytułem okna lub zakłócenia działania terminala.

Oh My Posh przed wersją 29.35.1 zawiera podatność w funkcji setStyle() w src/segments/path.go, która przekazuje pt.Path (zawierający surowe nazwy folderów) do template.Render, którego mapa funkcji udostępnia cmd. Atakujący kontrolujący nazwę katalogu z wyrażeniem szablonu Go może wykonać dowolne polecenia systemu operacyjnego jako bieżący użytkownik, gdy prompt renderuje się w tym katalogu lub podkatalogu.

rsync daemon w wersjach od 2.0.0 do przed 3.5.0 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym wyczerpać sloty połączeń demona poprzez wstrzymanie procesu uzgadniania przed lub po wyborze modułu, bez wyzwalania limitu czasu I/O. Atakujący mogą otworzyć wiele równoczesnych połączeń i przesyłać dane w minimalnym tempie, aby uniknąć limitu czasu, lub całkowicie zatrzymać się przed wyborem modułu, gdzie limit czasu nie obowiązuje, konsumując wszystkie dostępne sloty połączeń i blokując dostęp legalnym klientom.

rsync w wersjach od 3.1.0 do przed 3.5.0 zawiera podatność na obejście autoryzacji w parsowaniu dyrektywy auth users. Parser auth users używa tylko przecinków do tokenizacji listy użytkowników, co niepoprawnie obsługuje wpisy w formie @Group Name, gdzie nazwa grupy zawiera spację. Spacja w nazwie grupy powoduje podział wpisu na granicy spacji, odrzucając regułę odmowy związaną z grupą. Uwierzytelniony użytkownik, którego nazwa użytkownika lub członkostwo w grupie byłoby odrzucone przez wpis @Group Name, może połączyć się z ograniczonym modułem, ponieważ reguła odmowy jest cicho odrzucana podczas parsowania.

rsync w wersjach od 3.1.0 do przed 3.5.0 zawiera podatność na przepełnienie liczby całkowitej ze znakiem w implementacji limitu czasu I/O. Atakujący może wysłać wiadomości MSG_IO_TIMEOUT z wartościami niedodatnimi, co powoduje zawinięcie zmiennej limitu czasu i trwałe wyłączenie limitów czasu połączeń, umożliwiając utrzymywanie bezczynnych połączeń i wyczerpanie zasobów.