Katalog podatności CVE

W V do wersji 0.5.2 występuje podatność SSRF, która pozwala ominąć listy dozwolonych hostów poprzez wykorzystanie różnic w parsowaniu URL między net.urllib a net.http. Atakujący może skonstruować URL z backslashem w sekcji authority, co powoduje, że walidacja przepuszcza zaufany host, a rzeczywiste połączenie trafia do wewnętrznego hosta.

Netty przed wersjami 4.1.136.Final i 4.2.16.Final jest podatny na atak polegający na wymuszeniu aktualizacji WebSocket za pomocą luźnego handshakera V07/V08. Atakujący może wysłać nagłówek Sec-WebSocket-Version: 7, pomijając nagłówki Connection: Upgrade i Upgrade: websocket, co umożliwia przełączenie protokołu nierozpoznawane przez proxy i prowadzi do ataków typu HTTP request smuggling lub protocol confusion.

W consul-mcp-server w wersjach 0.1.0 do 0.1.3 nie ograniczono sposobu dostarczania adresu backendu Consul, co pozwalało podłączonemu klientowi nadpisać skonfigurowany adres Consul za pomocą nagłówka żądania. Może to umożliwić złośliwemu klientowi przekierowanie ruchu API Consul na kontrolowany przez atakującego endpoint i potencjalnie wyciek tokena Consul.

Router TL-WR940N v6 zawiera podatność w module śledzenia połączeń RTSP, która prowadzi do przepełnienia bufora na stosie. Gdy klient LAN inicjuje połączenie ze złośliwym serwerem RTSP, specjalnie spreparowana wiadomość RTSP może wywołać nieprawidłowe zarządzanie pamięcią w module jądra.

W Devolutions Password Manager 2026.2.1.0 i wcześniejszych na Androidzie, iOS i macOS występuje nieprawidłowa walidacja certyfikatów w obsłudze połączeń Devolutions Server. Pozwala to atakującemu w sąsiedniej sieci na przechwycenie i modyfikację wrażliwych informacji za pomocą sfałszowanego certyfikatu TLS.

W Netty przed wersjami 4.1.136.Final i 4.2.16.Final handler `Bzip2Decoder` w potoku kompresji jest podatny na atak DoS poprzez nieprawidłowy strumień bzip2, który powoduje nieskończoną pętlę w wątku event-loop. Podatność istnieje w maszynie stanów RLE w `Bzip2BlockDecompressor.read()`.

Netty przed wersjami 4.1.136.Final i 4.2.16.Final ma podatność na wyczerpanie zasobów w HttpContentEncoder (nadklasie HttpContentCompressor). Kolejka acceptEncodingQueue gromadzi dane kontrolowane przez atakującego bez ograniczeń rozmiaru, co przy użyciu pipeliningu HTTP/1.1 może doprowadzić do wyczerpania pamięci lub zasobów I/O.

W bibliotece traceparser funkcja decode() zawiera podatność nieprawidłowej walidacji danych wejściowych. Atakujący z uszkodzonym plikiem dziennika zdarzeń jądra (.kev) może wykonać dowolny kod lub spowodować awarię procesów korzystających z libtraceparser na hostach lub celach QNX.

W 7-Zip występuje podatność zdalnego wykonania kodu w dekompresji XZ spowodowana przepełnieniem bufora na stercie. Podatność wymaga interakcji użytkownika – ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik. Specjalnie spreparowane dane skompresowane XZ mogą wywołać przepełnienie bufora na stercie.

Podatność SQL Injection w Coverity Connect SOAP API dla wersji od 2024.6.0 do 2026.3.0. Uwierzytelniony atakujący może wysłać spreparowany ładunek, uzyskując pełny odczyt bazy danych i wykonanie nieautoryzowanych poleceń.

W jądrze Linux wykryto podatność na użycie po zwolnieniu (UAF) w mechanizmie timerów CPU POSIX. Problem pojawia się w wyniku wyścigu podczas wykonywania exec() przez proces niebędący liderem grupy, co może prowadzić do dostępu do już zwolnionego obiektu timera.

W jądrze Linux w sterowniku s390/pkey brakowało sprawdzenia długości bufora w funkcji ioctl PKEY_VERIFYPROTK. Podatność pozwala użytkownikowi przestrzeni użytkownika na podanie struktury żądania o długości przekraczającej rozmiar bufora, co może prowadzić do przepełnienia bufora.

W jądrze Linux w sterowniku s390/pkey brakowało sprawdzenia długości bufora docelowego w funkcji obsługi pkey_pckmo dla key_to_protkey(). Jeśli wygenerowane dane wyjściowe przekraczają długość bufora, funkcja nie zgłasza błędu, co może prowadzić do przepełnienia bufora.

W proot-distro przed wersją 5.1.6 funkcja restore akceptowała wpisy hardlinków, których linkname wskazywał na inny zainstalowany kontener, bez weryfikacji źródła. Pozwala to na skopiowanie plików między izolowanymi kontenerami za pomocą spreparowanego archiwum.

W ZITADEL od 2.43.0 do 2.71.19, od 3.0.0 do 3.4.11 i od 4.0.0 do 4.15.1, API do zarządzania e-mailem i telefonem pozwalało użytkownikom na żądanie zwróconych kodów weryfikacyjnych bez wymaganych uprawnień. Umożliwia to przejęcie adresów e-mail lub numerów telefonów innych użytkowników i ominięcie polityk bezpieczeństwa opartych na e-mailu lub telefonie.

W proot-distro przed wersją 5.1.5 funkcje instalacji wyodrębniające archiwa tar i warstwy Docker nie walidowały dowiązań symbolicznych kontrolowanych przez archiwum. Pozwala to na umieszczenie dowiązania do ścieżki hosta i zapis plików w systemie plików hosta.

W Quay użytkownik skonfigurowany w GLOBAL_READONLY_SUPER_USERS może przeglądać tokeny kont robotów dla repozytoriów, których nie jest członkiem. Pozwala to atakującemu z uprawnieniami tylko do odczytu podszyć się pod dowolne konto robota.

W @fastify/rate-limit przed wersją 11.2.0 klucze limitów szybkości opierają się na dosłownym adresie IP klienta. Klient IPv6 może ominąć limit, zmieniając adresy lub używając różnych reprezentacji tego samego adresu. Problem dotyczy aplikacji używających tego modułu do ochrony punktów końcowych, gdy trustProxy jest włączony.

W undici przed wersjami 7.29.0 i 8.9.0, interceptor pamięci podręcznej nieprawidłowo obsługuje nieprawidłowe dyrektywy Cache-Control private. Odpowiedź z prywatną dyrektywą o pustej wartości może być przechowywana w współdzielonej pamięci podręcznej i udostępniana innym użytkownikom, ujawniając prywatne dane. Ponadto połączenie niekwalifikowanej i kwalifikowanej dyrektywy private powoduje błąd TypeError, który może przerwać działanie procesu.

Podatność Insecure Direct Object Reference (IDOR) w funkcji Employee Compensation View w Infor Global HR v11.24.10.01.33 pozwala nieautoryzowanym atakującym na dowolne przeglądanie informacji o wynagrodzeniach innych pracowników poprzez spreparowane żądanie GET.