Katalog podatności CVE

W systemach Apple wykryto problem z uprawnieniami, który został naprawiony poprzez dodatkowe ograniczenia. Lokalna aplikacja może odczytać trwały identyfikator konta.

W systemach Apple wykryto problem z prywatnością, który został naprawiony poprzez usunięcie danych wrażliwych. Aplikacja może obejść niektóre ustawienia prywatności.

Problem ujawnienia informacji został naprawiony poprzez poprawę zarządzania stanem. Podatność występuje w systemach iOS, iPadOS, macOS, tvOS, visionOS i watchOS. Aplikacja może być w stanie zidentyfikować, jakie inne aplikacje ma zainstalowane użytkownik.

Podatność polegająca na ujawnieniu informacji w systemach Apple została naprawiona poprzez poprawę zarządzania pamięcią. Aplikacja może być w stanie ujawnić zawartość pamięci jądra systemu.

Problem został rozwiązany poprzez lepsze ukrywanie informacji wrażliwych. Luka występuje w systemach iOS 26.6, iPadOS 26.6, macOS Sequoia 15.8, macOS Tahoe 26.6, tvOS 26.6, visionOS 26.6 oraz watchOS 26.6. Aplikacja może ujawnić zawartość pamięci jądra systemu.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 zawiera przepełnienie bufora w procesie PASE, które może prowadzić do odmowy usługi. Uwierzytelniony atakujący może wykorzystać tę lukę do zakończenia własnego procesu.

IBM WebSphere Application Server w wersjach 9.0 i 8.5 jest podatny na obejście autoryzacji. Luka pozwala na uzyskanie dostępu do zasobów bez wymaganych uprawnień.

W cosmicstack-labs mercury-agent do wersji 1.2.0 funkcja PermissionManager.checkShellCommand w pliku mercury-agent/src/capabilities/permissions.ts (komponent Shell Permission Manifest) pozwala na ujawnienie informacji poprzez manipulację. Atak wymaga lokalnego wykonania, a exploit jest publicznie dostępny.

OpenZeppelin Contracts Wizard przed wersjami @openzeppelin/wizard 0.10.11, wizard-cairo 3.0.1, wizard-stellar 0.6.2 i wizard-stylus 0.3.1 w ścieżce setInfo wstawia info.securityContact i info.license dosłownie do komentarzy jednoliniowych w generowanym kodzie. Terminator linii kończy komentarz, przez co dalsze dane wejściowe są emitowane jako deklaracje źródłowe.

SpiceDB od wersji 1.34.0 do 1.54.0 może zwracać PERMISSIONSHIP_HAS_PERMISSION zamiast PERMISSIONSHIP_CONDITIONAL_PERMISSION lub PERMISSIONSHIP_NO_PERMISSION, ponieważ checkRequestToKey() i checkRequestToKeyWithCanonical() w internal/dispatch/keys/computed.go pomijają CheckHints przy budowaniu kluczy pamięci podręcznej. Wynik obliczony dla jednego zestawu wskazówek może zatruć wpis pamięci podręcznej używany przez semantycznie inny test autoryzacji.

October CMS w wersjach przed 3.7.17 i 4.2.21 zawiera podatność na iniekcję obiektów PHP w module systemowym. Backendowy trait `SessionMaker` przechowywał stan sesji widgetów jako `base64(serialize(...))` i odczytywał go przez `unserialize()` bez ograniczenia `allowed_classes`, co umożliwiało atakującemu wstrzyknięcie zserializowanych danych i wywołanie łańcuchów gadżetów PHP. Problem dotyczy tylko instalacji z włączonym trybem Safe Mode, który jest opcjonalny i stosowany głównie w scenariuszach z niezaufanymi użytkownikami.

Podatność w module systemu October CMS dotyczy polityki bezpieczeństwa sandboxa Twig, gdy włączony jest tryb cms.safe_mode. Poprzez łańcuch obejść można było uzyskać dostęp do magazynu sesji Laravel oraz surowych metod SQL, co pozwalało użytkownikowi backendu z uprawnieniami do edycji znaczników CMS odczytywać dowolne dane z bazy i podszyć się pod sesję innego użytkownika. Luka została naprawiona w wersjach 3.7.17 i 4.2.21.

fluent-plugin-s3 od wersji 0.7.0 do 1.8.4 w pluginie wejściowym in_s3 wczytuje cały zdekompresowany ładunek obiektów gzip, lzma2 i lzop do pamięci bez limitu decompression_size_limit. Atakujący z uprawnieniem do wysyłania obiektów do monitorowanego zasobu S3 może dostarczyć wysoce skompresowany obiekt, który nadmiernie się rozszerza.

W implementacji protokołu Nimiq (w języku Rust) przed wersją 1.6.0 istnieje podatność, która pozwala złośliwemu węzłowi synchronizacji na spowodowanie awarii synchronizującego węzła przez wysłanie spreparowanego dowodu TrieChunk, co prowadzi do paniki poza zakresem.

W Nimiq (Rust) przed wersją 1.6.0 istnieje podatność umożliwiająca złośliwemu węzłowi synchronizacji spowodowanie awarii węzła przez wysłanie dowodu TrieProof z duplikatami kluczy, co prowadzi do paniki w wyniku niewłaściwego obsłużenia wartości None.

W projekcie vLLM do wersji 0.29.0 wykryto podatność w funkcji TiktokenTokenizer::new (plik rust/src/text/src/backend/hf/mod.rs) prowadzącą do ataku DoS przez lokalne manipulacje.

Podatność w SourceCodester Inventory Management System 1.0 dotyczy nieznanej funkcjonalności pliku /api/products_handler.php w module Product Management. Manipulacja argumentem Product_Name prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Podatność w SourceCodester Inventory Management System 1.0 dotyczy nieznanej funkcjonalności pliku /api/vendors_handler.php w komponencie Vendor Management. Manipulacja prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Podatność w SourceCodester Inventory Management System 1.0 dotyczy nieznanej funkcji pliku /api/customers_handler.php w module Customer Management. Manipulacja argumentem Customer_Name prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W bibliotece Mbed TLS w wersjach 3.6.x przed 3.6.7 oraz 4.1.x przed 4.1.2 klient TLS 1.3 akceptuje komunikat HelloRetryRequest wskazujący grupę, której klient nie zadeklarował wcześniej. Może to prowadzić do naruszenia uzgodnień protokołu TLS 1.3.