Katalog podatności CVE

Frappe przed wersją 14.59.0 oraz wersje 15.x przed 15.5.0 zawierają wadę sandboxa, gdzie globalna flaga frappe.flags.in_safe_exec może stać się False podczas wykonywania skryptów serwera, gdy jeden skrypt serwera wywołuje inny. Uwierzytelnieni użytkownicy z wysokimi uprawnieniami mogą stworzyć skrypt serwera, który wywołuje inne skrypty serwera, na przykład przez zapisanie dokumentu, tak że pozostały kod działa bez ochrony bezpiecznego wykonywania.

FileRise przed wersją 3.14.0 uwierzytelnia żądania do obsługi tworzenia plików i linków udostępniania, ale nie wymusza sprawdzania tokenu CSRF używanego przez sąsiednie operacje zmieniające stan. Endpointy POST /api/file/createFile.php oraz /api/file/createShareLink.php nie odrzucają brakującego lub nieprawidłowego nagłówka X-CSRF-Token. Żądanie z sesją zalogowanego użytkownika może utworzyć pusty plik lub link udostępniania z uprawnieniami tego użytkownika, choć domyślne ciasteczko SameSite=Lax ogranicza zwykłe cross-site POST.

odhcpd w OpenWrt do commita cfddd56 włącznie pozwala nieuwierzytelnionemu hostowi w tej samej sieci uzyskać dwa przypisania przez normalne wymiany DHCPv6 SOLICIT i REQUEST, a następnie wysłać spreparowany RENEW z wieloma opcjami IA_NA. Wcześniej dopasowane IA zużywa większość bufora odpowiedzi, niedopasowane IA powoduje zapis i zwrócenie odpowiedzi NOBINDING większej niż pozostałe miejsce, a kolejne dopasowane IA jest przetwarzane po odjęciu nadmiaru od unsigned size_t. Wynikające niedomknięcie wyłącza kolejne sprawdzenia długości i pozwala na serializację IA_ADDR kontrolowaną przez atakującego poza 512-bajtowy bufor stosu pdbuf w handle_client_request(). Kanarek stosu kończy odhcpd, a ciągłe pakiety mogą wielokrotnie zakłócać usługę DHCPv6, podczas gdy procd wskrzesza proces. W obserwowanej konfiguracji nie stwierdzono wykonania kodu.

Code for IBM i to rozszerzenie Visual Studio Code do utrzymania i kompilacji języków ILE na platformie IBM i. Przed wersją 3.0.1 plik src/ui/views/objectBrowser.ts przechowuje pobrane pliki Object Browser i zawartość przepływu edycji-zapisu w współdzielonym katalogu /tmp bez niezawodnego czyszczenia. W systemach, gdzie /tmp jest dostępny dla innych lokalnych kont, zawartość plików pozostaje czytelna po operacjach pobierania lub edycji. Problem naprawiono w wersji 3.0.1.

Moonlight Qt to klient GameStream dla Windows, macOS, Linux i Steam Link. W wersji 6.1.0 i wcześniejszych, po zainicjowaniu sesji strumieniowania do złośliwego hosta, host może wysłać spreparowany H.264 SPS NAL, gdy Moonlight wybierze ścieżkę dekodera, która nie ogłasza CAPABILITY_REFERENCE_FRAME_INVALIDATION_AVC. Ścieżka naprawy SPS w app/streaming/video/ffmpeg.cpp parsuje dane dostarczone przez serwer za pomocą h264bitstream, gdzie kontrolowany przez atakującego seq_parameter_set_id jest używany do indeksowania 32-elementowej tablicy sps_table bez walidacji. Wartość 32 lub większa powoduje zapis poza granicami i zdalne uszkodzenie sterty w kliencie Moonlight. Wykazany wpływ to niezawodna awaria klienta, choć wykonanie kodu nie zostało ustalone. Problem naprawiono w wersji 6.2.0.

W Netcore NR268 1.7.121109 wykryto podatność w funkcji eval pliku filter_hosts_dump.cgi komponentu DHCP Hostname Handler. Manipulacja argumentem Hostname powoduje cross site scripting. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

QGIS to wolny, otwartoźródłowy, wieloplatformowy system informacji geograficznej. Przed wersją 3.44.12 oraz w wersjach od 4.0.0 do 4.2.3, QGIS Server renderuje dane cech w odpowiedziach HTML WFS3 (OGC API Features) bez escapowania HTML. Wartości feature.properties kontrolowane przez atakującego z opublikowanej warstwy wektorowej z prawem zapisu trafiają do resources/server/api/ogc/templates/wfs3/getFeatures.html przez QgsServerOgcApiHandler::htmlDump i callback if_nullptr_null_str. Użytkownik otwierający stronę HTML elementów może wykonać zapisany markup lub skrypt w origin QGIS Server, co może ujawnić dane sesji przeglądającego lub wykonać uwierzytelnione żądania z uprawnieniami przeglądającego. Problem naprawiono w wersji 3.44.12.

GNU Aspell 0.60.8.2 (pierwsza podatna wersja nie jest znana) zawiera przepełnienie bufora sterty (CWE-122) w loaderze słownika tylko do odczytu. String::reserve() w common/string.hpp oblicza sprawdzenie pojemności za pomocą signed int ((int)s + 1), więc żądany rozmiar 0x7FFFFFFF zawija się na wartość ujemną i bufor nie jest powiększany. ReadOnlyDict::load() w modules/speller/default/readonly_ws.cpp przekazuje niezwalidowane 32-bitowe pola rozmiaru z nagłówka słownika .rws do tej ścieżki, więc spreparowany plik .rws z prawidłowym znacznikiem endian (12345678) i nadmiernym polem długości (np. lang_name_size = 0x7FFFFFFF) powoduje zapis danych kontrolowanych przez atakującego poza granicami zbyt małej alokacji sterty. Atakujący, który nakłoni ofiarę do załadowania złośliwego słownika — na przykład przez aspell dump master <file> — może uszkodzić pamięć sterty, powodując odmowę usługi i potencjalnie wykonanie kodu. Naprawiono w b830b6e i będzie naprawione w wersji 0.60.8.3.

Nango to open-source platforma do łączenia agentów i produktów z API stron trzecich. Przed wersją 0.70.9, na kontach z włączonym RBAC przez plan z has_rbac=true, dwie prywatne trasy odczytu przepływu, GET /api/v1/integrations/:providerConfigKey/flows i GET /api/v1/flow/:flowName, stosują webAuth, ale pomijają can({ action: 'read', resource: 'flow', scopedBy: envScope }). Użytkownik tej samej drużyny z rolą development_full_access może zatem zażądać env=prod i odczytać metadane przepływu integracji produkcyjnej lub konfigurację nazwanego przepływu, mimo że jest odrzucany przez chronione trasy produkcyjne. Oba kontrolery używają res.locals.environment z uwierzytelnionego konta, więc problem omija granicę ról produkcyjnych, ale nie przekracza granic dzierżawcy. Problem naprawiono w wersji 0.70.9 i managed-1.5.11-0.70.8-aae30d044d7e229807d51a3957c212f3fb689e1a.

Super Productivity to zaawansowana aplikacja listy zadań z wbudowanym timeboxingiem i śledzeniem czasu. Od wersji 17.3.0 do 18.13.1, konfiguracja szyfrowania end-to-end SuperSync wywołuje sync(true) przed ustawieniem hasła szyfrowania przez użytkownika, powodując, że ścieżka przesyłania operacji transmituje i przechowuje wszystkie operacje użytkownika w postaci jawnej. Ujawnione operacje mogą zawierać prywatną treść zadań i poświadczenia połączonych dostawców problemów, w tym hasła wielokrotnego użytku, tokeny API i hasła aplikacji. Użytkownicy, którzy ukończą konfigurację E2EE, mają usunięte operacje jawne, podczas gdy użytkownicy, którzy opuszczą krok ustawiania hasła, mogą pozostawić dane przechowywane bezterminowo. Akcja Disable SuperSync nie usuwała jawnych danych, które zostały już przesłane. Routing i metadane przyczynowe pozostają jawne z założenia i nie są częścią tej podatności. Problem naprawiono w wersji 18.13.1.

Convex to open-source reaktywna baza danych dla programistów aplikacji. Przed obrazem self-hosted opublikowanym 10 sierpnia 2026 i lokalnym binarium precompiled-2026-08-10-c0cb7ae, złośliwy użytkownik może w rzadkich przypadkach dokonać nieautoryzowanego odczytu informacji o wdrożeniu z wdrożenia Convex. Opiekun celowo wstrzymał dotknięty komponent i mechanizm techniczny, aby chronić nieaktualizowane wdrożenia self-hosted, i nie są znane żadne dowody wykorzystania. Wdrożenia Convex cloud zostały załatane automatycznie. Problem naprawiono w obrazie self-hosted opublikowanym 10 sierpnia 2026 i lokalnym binarium precompiled-2026-08-10-c0cb7ae.

Nginx UI przed wersją 2.4.1 zawiera podatność, w której wygenerowane krótkie tokeny nie mają powiązanej długiej wartości Token, a funkcja DeleteUserTokens unieważnia wpisy w pamięci podręcznej tylko wtedy, gdy długie pole Token nie jest puste. Odwołany krótki token może pozostać w pamięci podręcznej i ponownie uwierzytelnić użytkownika, jeśli konto zostanie ponownie włączone przed wygaśnięciem wpisu, przywracając dostęp do tras HTTP lub WebSocket akceptujących uwierzytelnianie krótkim tokenem.

Nginx UI przed wersją 2.4.3 zawiera podatność polegającą na tym, że funkcja AutoBackup.GetName zwraca nazwę kontrolowaną przez użytkownika bez odrzucania separatorów ścieżek lub komponentów katalogu nadrzędnego, a dalsze formatowanie nazwy pliku osadza ten wynik w końcowej nazwie archiwum. Uwierzytelniony użytkownik może spowodować, że filepath.Join rozwiąże wygenerowaną ścieżkę archiwum poza zwalidowanym katalogiem przechowywania, umożliwiając zapis archiwów kopii zapasowych z uprawnieniami procesu Nginx UI.

OWASP Coraza WAF od wersji 3.4.0 do 3.8.0 zawiera podatność w procesorze multipart, który traktuje błąd io.ErrUnexpectedEOF jako niekrytyczny bez ustawiania MULTIPART_STRICT_ERROR. Zdalny atakujący może wysłać obcięte ciało multipart, powodując zatrzymanie parsowania bez podniesienia sygnału błędu ścisłego używanego przez zalecaną regułę obronną, co pozwala na dotarcie do backendu z payloadami wykorzystującymi niezgodność parsera.

OWASP Coraza WAF od wersji 3.0.0 do 3.8.0 zawiera podatność w natywnym formacie dziennika audytu, który zapisuje pola żądań i odpowiedzi kontrolowane przez atakującego bez neutralizowania znaków powrotu karetki lub nowej linii. Gdy włączony jest SecAuditLogFormat Native, wstrzyknięte znaki nowej linii mogą tworzyć sfałszowane linie wewnątrz rekordu transakcji, co może wprowadzić w błąd operatorów i przetwarzanie SIEM.

IBM Maximo Application Suite - Location Service for Esri Component w wersjach 9.2, 9.1 i 9.0 jest podatny na nieprawidłową walidację danych wejściowych z powodu nieoczyszczonej konfiguracji obrazu kontenera w szablonie operatora Kubernetes.

IBM Power Systems Firmware w wersjach FW1110.00 do FW1110.31, FW1120.00 do FW1120.01 oraz FW1060.00 do FW1060.81 może pozwolić zdalnemu uwierzytelnionemu atakującemu na spowodowanie odmowy usługi poprzez wyczerpanie zasobów połączeń z powodu nieprawidłowego zarządzania zasobami.

Fire-Boltt BSW013 smartwatch firmware do wersji V0.0.8 zawiera podatność braku uwierzytelnienia, która pozwala niesparowanym urządzeniom BLE na subskrypcję charakterystyki Heart Rate Measurement (0x2A37). Atakujący w zasięgu Bluetooth mogą otrzymywać odczyty tętna noszącego bez parowania, wiązania lub jakiegokolwiek potwierdzenia na zegarku.

Fire-Boltt BSW013 smartwatch firmware do wersji V0.0.8 zawiera podatność braku uwierzytelnienia, która pozwala niesparowanym atakującym na wstrzykiwanie powiadomień poprzez zapis do zastrzeżonej charakterystyki komend BLE. Atakujący w zasięgu Bluetooth mogą tworzyć komendy chronione jedynie sumą kontrolną CRC-16/ARC, aby wibrować zegarek i wyświetlać sfałszowane alerty w celu phishingu.

Rapyd Admin od wersji 9.4.0 przed 9.20.0 zawiera podatność przechowywanego cross-site scripting, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie skryptów poprzez samodzielnie zarejestrowane nazwy wyświetlane. Atakujący mogą zarejestrować się z nazwą HTML lub JavaScript renderowaną bez escapowania w filtrze autora dziennika aktywności, wykonując skrypt w sesji administratora.