Katalog podatności CVE

Next.js w wersjach 13.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w aplikacjach używających App Router z co najmniej jedną Server Action. Specjalnie spreparowane żądania mogą spowodować nadmierne zużycie CPU, blokując przetwarzanie kolejnych żądań.

Roskus Prospero Flow CRM przed wersją 5.4.4 ma podatność na Stored XSS w module e-mail. Niskouprzywilejowany użytkownik może zapisać złośliwy JavaScript w treści e-maila, który jest renderowany bez sanityzacji, co pozwala na przejęcie sesji administratora.

Pheditor w wersjach 2.0.1-2.0.5 ma podatność w funkcji terminala, która używa niekompletnej listy blokowanych znaków. Znaki |, ` i nowa linia (0x0A) nie są blokowane, co pozwala uwierzytelnionemu użytkownikowi na ominięcie listy dozwolonych komend i wykonanie dowolnych poleceń OS.

Pheditor przed wersją 2.0.5 ma podatność w funkcji terminala, która sprawdza tylko początek komendy, a nie blokuje podstawiania komend shell ($()). Uwierzytelniony użytkownik może ominąć listę dozwolonych komend i wykonać dowolne polecenia OS.

PostCSS w wersjach do 8.5.11 zawiera podatność polegającą na tym, że parser PreviousMap odczytuje komentarz /*# sourceMappingURL=PATH */ z dowolnego ciągu CSS przekazanego do process() i dereferencjonuje PATH względem lokalnego systemu plików bez sprawdzania schematu, listy dozwolonych ścieżek ani zabezpieczeń przed przechodzeniem do katalogów nadrzędnych. Atakujący kontrolujący dane wejściowe CSS może spowodować odczytanie przez proces hosta dowolnego pliku czytelnego dla Node i wyciek pierwszych ~10 bajtów jego zawartości poprzez komunikat błędu JSON.parse SyntaxError. Błąd umożliwia również precyzyjne sprawdzenie istnienia pliku oraz prymityw kontrolowanego odczytu, który w połączeniu z dużymi plikami może prowadzić do DoS. Podatność jest wyzwalana przy domyślnych ustawieniach PostCSS i jest osiągalna z każdego potoku przetwarzającego niezaufany CSS przez PostCSS.

Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi niebędącemu administratorem, posiadającemu uprawnienia do zarządzania członkostwem w grupach użytkowników, eskalację uprawnień do administratora poprzez spreparowane żądanie API. Problem dotyczy wersji od 2026.2.4.0 do 2026.2.12.0 oraz 2026.1.23.0 i wcześniejszych.

Podatność w facil.io w wersjach 0.7.5 do 0.7.6 w parserze kodowania transferu fragmentarycznego HTTP/1.1 pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie awarii serwera poprzez wysłanie ujemnego rozmiaru fragmentu. Atakujący może wysłać pojedyncze żądanie POST z nagłówkiem Transfer-Encoding: chunked zawierającym znak minus w polu rozmiaru fragmentu, co powoduje obliczenie dużej liczby całkowitej z zanegowanej wartości, uszkodzenie stanu wewnętrznego i przesunięcie wskaźnika odczytu do niezmapowanej pamięci, skutkujące błędem.

Podatność w facil.io w wersjach 0.6.0 do 0.7.6 w parserze treści multipart pozwala nieuwierzytelnionym zdalnym atakującym na trwałe zablokowanie procesów roboczych przy 100% użyciu CPU poprzez wysłanie żądania multipart/form-data z częściowym zamykającym separatorem. Brak zabezpieczenia postępu w pętli parsera powoduje, że http_mime_parse zwraca 0 bajtów bez ustawienia flag done lub error, co prowadzi do nieskończonego wywoływania parsera na tym samym buforze, wyczerpując wszystkie procesy robocze i trwale wyłączając serwer do czasu ręcznego restartu.

facil.io w wersjach od 0.6.0 do 0.7.6 zawiera podatność polegającą na niedomiarze liczby całkowitej w parserze treści MIME multipart, która pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie awarii procesu serwera poprzez wysłanie spreparowanego nagłówka Content-Disposition z pustą nazwą pola. Atakujący może wywołać zawinięcie uint32_t w http_mime_parser.h, prowadzące do odczytu pamięci poza zakresem wskaźnika nazwy, co skutkuje błędem magistrali i awarią wątku roboczego przy pojedynczym żądaniu POST.

Podatność w NVIDIA NeMo dla systemu Linux pozwala atakującemu na wstrzyknięcie poleceń systemu operacyjnego. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, manipulacji danymi, eskalacji uprawnień i ujawnienia informacji.

Funkcja VCO nie wystarczająco weryfikuje dane wejściowe dostarczone przez wywołującego, co pozwala na wysyłanie żądań w imieniu uwierzytelnionych kont dzierżawców do wewnętrznych usług, które w inny sposób są niedostępne. Podatność wymaga minimalnej roli Enterprise Standard Admin. Problem został wykryty wewnętrznie przez Aristę i nie są znane przypadki złośliwego wykorzystania w sieciach klientów.

Podatność w phpMyFAQ przed wersją 4.1.6 nie weryfikuje sekwencji ścieżek traversal w polu existing_image podczas aktualizacji kategorii, co pozwala uwierzytelnionym atakującym na usunięcie dowolnych plików poprzez wykorzystanie niedostatecznego oczyszczania w Image::delete(). Atakujący mogą usunąć plik konfiguracyjny database.php, aby wyłączyć bramę instalacyjną i uzyskać dostęp do publicznego kreatora konfiguracji w celu utworzenia nowych kont superadministratora.

Podatność w SiYuan przed wersją 3.7.2 nie ucieka wartości atrybutu Individual Attribute List title-img podczas renderowania obrazów okładek Galerii i Kanban, co pozwala na przechowywany cross-site scripting poprzez nieuciekającą interpolację atrybutu style. Atakujący z uprawnieniami edytora mogą wstrzyknąć procedury obsługi onload, które wykonują dowolny kod w rendererze Electron z pełnym dostępem do Node.js, gdy ofiary otworzą dotknięte dokumenty.

Podatność w SiYuan przed wersją 3.7.3 zawiera przechowywane i odbite podatności cross-site scripting w oczyszczaniu SVG, które pozwalają uwierzytelnionym atakującym na wykonanie skryptów poprzez ominięcie oczyszczarki opartej na parserze HTML. Atakujący mogą ukryć znaczniki skryptów w elementach desc, style lub noscript, które parser HTML traktuje jako surowy tekst, ale przeglądarki interpretują jako wykonywalną zawartość SVG, gdy są serwowane jako image/svg+xml, umożliwiając wykonanie skryptów w kontekście aplikacji.

W bibliotece public_key w Erlang/OTP wykryto podatność polegającą na nieograniczonym przydzielaniu zasobów podczas walidacji ścieżki certyfikatu X.509. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowany łańcuch certyfikatów podczas uzgadniania TLS, co prowadzi do przeciążenia harmonogramów BEAM i wyczerpania pamięci węzła, powodując odmowę usługi (DoS). Problem dotyczy funkcji pubkey_policy_tree:add_leaves/2 i pubkey_policy_tree:add_leaf_siblings/2, które rozwijają drzewo polityki certyfikatów bez ograniczeń.

Klasyczny błąd przepełnienia bufora w sterowniku C skanera flex w Erlang/OTP megaco pozwala zdalnemu, nieuwierzytelnionemu atakującemu na uszkodzenie pamięci sterownika (potencjalnie prowadząc do zdalnego wykonania kodu lub awarii usługi) poprzez wysłanie pojedynczej wiadomości H.248/Megaco z nadmiernie długą nazwą właściwości. Błąd występuje w funkcji mfs_load_property_groups, która używa niekontrolowanego sprintf do zapisu do stałego 512-bajtowego pola error_msg, co prowadzi do nadpisania sąsiednich pól struktury i umożliwia dowolny zapis i zwolnienie pamięci w procesie BEAM VM.

Podatność w aplikacji SSL biblioteki Erlang/OTP pozwala na wyczerpanie pamięci poprzez wysłanie spreparowanego łańcucha certyfikatów podczas uzgadniania TLS/DTLS. Brak wykrywania cykli w funkcji budującej łańcuch certyfikatów powoduje nieograniczoną rekurencję, co prowadzi do awarii węzła BEAM.

Klient TLS 1.2 (i wcześniejszych) oraz DTLS w Erlang/OTP nie weryfikuje, czy zestaw szyfrów wybrany przez serwer w ServerHello był wśród zestawów oferowanych przez klienta. Atakujący w środku połączenia może wybrać anonimowy zestaw szyfrów, co omija weryfikację certyfikatu i hostname, pozwalając na przechwycenie i modyfikację ruchu.

W Erlang OTP występuje podatność na błąd konwersji ze znakiem na bez znaku oraz zapis poza dozwolonym obszarem sterty podczas dekodowania specjalnie spreparowanego formatu ETF. Atakujący może dostarczyć złośliwy binarny ETF do binary_to_term/1, co prowadzi do uszkodzenia wskaźnika sterty BEAM i awarii maszyny wirtualnej.

Podatność w dekoderze External Term Format (ETF) w ERTS powoduje niedomiar liczby całkowitej przy przetwarzaniu specjalnie spreparowanych danych binarnych. Prowadzi to do alokacji ogromnego obszaru pamięci i awarii całego węzła Erlang/VM.