Katalog podatności CVE

Podatność polegająca na ujawnieniu wrażliwych informacji nieautoryzowanemu aktorowi w rozszerzeniu Mediawiki - EventBus Extension pozwala na eksfiltrację danych. Dotyczy wersji 1.47.0-alpha.

Akaunting przed wersją 2.1.31 zawiera podatność na wstrzykiwanie komend systemu operacyjnego w procesie instalacji i aktualizacji modułów, gdzie parametr alias jest przekazywany bez walidacji do wykonania poleceń powłoki. Uwierzytelnieni użytkownicy z dostępem do panelu administracyjnego mogą wstrzyknąć metaznaki powłoki do parametru alias, aby wykonać dowolne komendy na serwerze.

Biblioteka urllib3 w wersjach od 1.10.3 do 2.8.0 posiada podatność polegającą na nieograniczonej alokacji pamięci. Metody HTTPResponse.read_chunked i HTTPResponse.stream buforują pole rozmiaru fragmentu (chunk-size) bez limitu długości, aż do napotkania znaku nowej linii lub końca strumienia. Złośliwy serwer HTTP może wysłać bardzo długą, niezakończoną linię rozmiaru fragmentu, co prowadzi do wyczerpania pamięci procesu klienta.

Biblioteka urllib3 w wersjach od 1.26.0 do 2.8.0 nieprawidłowo stosuje ustawienia TLS serwera docelowego do połączenia z proxy HTTPS. Ścieżki konfiguracji proxy_ssl_context, proxy_assert_hostname, proxy_assert_fingerprint, ssl_context, cert_reqs, verify_mode, use_forwarding_for_https=True oraz CERT_NONE nie pozostają rozdzielone. Ustawienie cert_reqs=CERT_NONE może nadpisać proxy_ssl_context.verify_mode, a zmiana ta utrzymuje się w kolejnych połączeniach, co może skutkować połączeniem z proxy HTTPS bez weryfikacji certyfikatu.

TeamViewer Full Client i Host dla systemu Linux w wersjach przed 15.82 zawierają podatność nieprawidłowej walidacji ścieżek w funkcji Cloud Session Recording (CSR). Wykorzystując warunek wyścigu (race condition) podczas walidacji ścieżki i późniejszego dostępu do pliku, lokalny uwierzytelniony atakujący może wywołać uprzywilejowane operacje na plikach w niezamierzonych lokalizacjach.

TeamViewer Full Client, Host i powiązane moduły na systemach Windows, Linux i macOS zawierają podatność nieprawidłowej kontroli dostępu. Uwierzytelniony zdalny atakujący może obejść uprawnienia skonfigurowane przez użytkownika podczas ustanawiania sesji, modyfikując parametry kontroli dostępu dla ograniczonych funkcji. Może to skutkować nieautoryzowanymi działaniami, a potencjalnie także zdalnym wykonaniem kodu.

TeamViewer Full Client i Host w wersjach przed 15.82 na systemie Windows zawierają warunek wyścigu TOCTOU w mechanizmie wycofywania instalatora. Lokalny atakujący z niskimi uprawnieniami może zastąpić pliki kopii zapasowej rollback przechowywane w katalogu tymczasowym z prawem zapisu dla użytkownika, zanim zostaną przywrócone przez instalator z podwyższonymi uprawnieniami. Prowadzi to do eskalacji uprawnień do NT AUTHORITY/SYSTEM.

TeamViewer Full Client i Host dla systemów Linux i macOS w wersjach przed 15.82 zawierają podatność przepełnienia bufora na stercie podczas przetwarzania plików nagrań sesji .tvs. Niezgodność rozmiaru podczas dekompresji danych nagranej sesji może skutkować zapisami poza granicami sterty. Poprzez nakłonienie użytkownika do otwarcia specjalnie spreparowanego nagrania sesji przez funkcję "Play or convert recorded session…" atakujący może osiągnąć wykonanie dowolnego kodu z uprawnieniami bieżącego użytkownika.

Zdalny atakujący może zalać lokalny stos QUIC ramkami NEW_CONNECTION_ID, omijając limit liczby identyfikatorów połączeń. Powoduje to wysyłanie ramek RETIRE_CONN_ID i, przy wstrzymywaniu ACK, alokację około 400 MB pamięci.

W OpenSSL 4.0 występuje błąd typu use-after-free (CWE-416) w mechanizmie buforowania rozszerzeń certyfikatów X.509. Gdy kilka wątków jednocześnie po raz pierwszy używa tego samego certyfikatu, jeden wątek może zwolnić pamięć bufora rozszerzeń, podczas gdy inny wątek wciąż z niej korzysta. Może to doprowadzić do awarii procesu i odmowy usługi (DoS).

W logice retransmisji DTLS występuje błąd, który nieprawidłowo obsługuje wstrzymany zapis komunikatu handshake. Retransmitowany komunikat może być odczytany poza bufor, ujawniając dane z pamięci heap lub powodując awarię i odmowę usługi (DoS).

Serwer TLS, który wywołuje SSL_set_SSL_CTX() w trakcie uzgadniania połączenia, może uzyskać dostęp do pamięci poza końcem wewnętrznej tablicy, jeśli nowy kontekst zna więcej algorytmów podpisów dostawcy niż kontekst, z którego utworzono połączenie. Zdalny peer może spowodować mały odczyt poza zakresem, a w niektórych przypadkach zapis poza zakresem o stałej wartości na stercie serwera, co może prowadzić do odmowy usługi.

Podatność w implementacji QUIC w OpenSSL pozwala zdalnemu atakującemu na utrzymywanie przydzielonej pamięci buforów pakietów przez długi czas, wysyłając specjalnie spreparowane pakiety. Problem wynika z braku limitów alokacji zasobów (CWE-770), co może prowadzić do nadmiernego zużycia pamięci.

Nieprawidłowa walidacja ścieżek w lokalnej usłudze IPC TeamViewer Full Client i Host na systemach Windows, Linux i macOS w wersjach przed 15.82 pozwala lokalnemu uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na wykonywanie dowolnych zapisów do plików z podwyższonymi uprawnieniami (NT AUTHORITY/SYSTEM \ root). Wysyłając spreparowane polecenia IPC do lokalnego demona usługi, atakujący może manipulować ścieżkami plików, prowadząc do lokalnej eskalacji uprawnień.

Biblioteka @socket.io/cluster-engine przed wersją 0.1.1 używa dziedziczonych właściwości obiektu podczas wyszukiwania identyfikatorów sesji kontrolowanych przez atakującego w środowiskach klastrowych. Nazwy właściwości takie jak __proto__ lub constructor mogą zostać rozwiązane przez łańcuch prototypów zamiast wskazywać rzeczywistego klienta, co powoduje awarię procesu Node.js i odmowę usługi. Aplikacje niekorzystające z @socket.io/cluster-engine nie są narażone.

Deserializacja niezaufanych danych w komponencie ładowania modeli w Amazon GluonTS przed wersją 0.17.0 może pozwolić atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami procesu ładującego model, poprzez specjalnie spreparowany katalog modelu. Aby usunąć podatność, należy zaktualizować do wersji 0.17.0 lub nowszej.

Devolutions Server 2026.3.5.0 i wcześniejsze przechowuje wrażliwe informacje w postaci jawnego tekstu w bazie danych. Atakujący z dostępem do odczytu bazy danych może uzyskać tokeny zewnętrznego dostawcy tożsamości oraz identyfikatory aktywnych sesji.

Weblate w wersjach od 4.11.1 do 2026.7.1 zawiera podatność na wstrzyknięcie argumentów w backendzie Mercurial. Nazwy plików repozytorium zaczynające się od znaku - mogą być interpretowane jako opcje Mercurial zamiast ścieżek. Uwierzytelniony użytkownik z uprawnieniem component.edit w zakresie projektu może to wykorzystać przez komponent RESX korzystający z Mercurial i dodatek Update RESX files, co może doprowadzić do wykonania dowolnych poleceń z uprawnieniami konta usługi Weblate. Podatność została naprawiona w wersji 2026.8.

Nicotine+ to klient graficzny sieci peer-to-peer Soulseek. Przed wersją 3.3.11 zmodyfikowany zdalny klient może wysyłać skompresowane zlib wiadomości peer zawierające bombę dekompresyjną, wyczerpując dostępną pamięć systemu odbiorcy. Podatność została naprawiona w wersji 3.3.11.

NVIDIA DeepStream zawiera podatność, w której atakujący może wywołać przepełnienie liczb całkowitych, dostarczając spreparowane wymiary tensora w pliku konfiguracyjnym YAML. Skuteczne wykorzystanie tej podatności może prowadzić do odmowy usługi, ujawnienia informacji oraz modyfikacji danych.