Katalog podatności CVE

W jądrze Linux wykryto podatność w podsystemie i2c/smbus polegającą na braku wczesnej walidacji długości transferu blokowego SMBus. Zbyt duża, kontrolowana przez użytkownika wartość data->block[0] może trafić do tracepointów oraz implementacji smbus_xfer sterowników bez sprawdzenia, co prowadzi do przepełnienia bufora poza zakresem (out-of-bounds).

W jądrze Linuxa w sterowniku DRM (drm/pagemap) funkcja drm_pagemap_migrate_unmap_pages() opiera się na tablicy stron do DMA unmap, ale funkcja drm_pagemap_migration_unlock_put_pages() czyści tę tablicę podczas sprzątania, co powoduje brak ważnych informacji o stronach. Poprawka wywołuje funkcję unmap przed unlock_put_pages, aby tablica pozostała ważna.

W OpenWA przed wersją 0.23.5, brama WebSocket /events dostarcza zdarzenie session.qr do klucza API VIEWER, gdy subskrybuje on według nazwy zdarzenia lub przez wildcard, mimo że GET /api/sessions/{sessionId}/qr wymaga roli OPERATOR. Gdy sesja oczekuje na parowanie, ujawniony QR pozwala posiadaczowi klucza podłączyć zewnętrzne urządzenie do konta WhatsApp i czytać oraz wysyłać wiadomości poza OpenWA i jego ścieżką audytową. Klucze ograniczone przez allowedSessions pozostają ograniczone do tych sesji.

W Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0, zabezpieczenie sprawdzające źródła iframe nie traktowało dosłownych backslashów jako separatorów ścieżek po zdekodowanych segmentach kropek. Specjalnie spreparowane źródło mogło przejść kontrolę allowed_iframes, podczas gdy normalizacja adresu URL w przeglądarce przesuwała iframe poza dozwoloną ścieżkę. W efekcie iframe mógł ładować treść z lokalizacji nieautoryzowanej przez administratora.

W Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0, komponent placeholdera wideo pozwalał na wstrzyknięcie atrybutu przez spreparowany HTML, co umożliwiało osadzenie kontrolera zdarzeń sterowanego przez atakującego. Uwierzytelniony użytkownik z domyślnymi uprawnieniami do publikowania mógł zapisać spreparowany placeholder w poście. Gdy inny użytkownik otworzył post i kliknął nakładkę odtwarzania wideo, kontroler mógł wykonać dowolny JavaScript w sesji przeglądającego. Domyślnie CSP blokuje inline, ale przy wyłączonym lub poluzowanym CSP skrypt może czytać treść strony i wysyłać uwierzytelnione żądania.

W Espruino 2v29 (commit bffc6d0) funkcja jslGetTokenValueAsString() zawiera podatność na zapis poza zakresem (out-of-bounds write). Specjalnie spreparowany kod JavaScript z nadmiernie długim tokenem może spowodować zapis jednego bajtu poza bufor JsLex.token w buildach RELEASE/NO_ASSERT, co uszkadza sąsiedni wskaźnik tokenValue i prowadzi do korupcji pamięci, awarii aplikacji lub odmowy usługi.

hiredis commit 29ea279 (po v1.5.0) zawiera podatność na niekontrolowaną alokację pamięci w parserze agregatów RESP.

Bento4 1.6.0.0 zawiera podatność na niedomiar liczby całkowitej w AP4_AvccAtom::Create() i AP4_HvccAtom::Create(). Specjalnie spreparowany plik MP4 zawierający atom avcC lub hvcC o zadeklarowanym rozmiarze mniejszym niż rozmiar nagłówka atomu może spowodować zawinięcie obliczeń rozmiaru ładunku do dużej wartości bez znaku. Wynikowe nieprawidłowe alokacje bufora i operacje kopiowania mogą spowodować zakończenie aplikacji.

libde265 commit 4d45a6b zawiera podatność na dereferencję pustego wskaźnika w ścieżce parsowania NAL. Gdy de265_push_NAL() jest wywoływane z jednostką NAL o zerowej długości, wynikowa jednostka NAL może zachować pusty bufor bazowy, który jest następnie przekazywany jako argument docelowy do memcpy() w NAL_unit::set_data(). Chociaż długość kopiowania wynosi zero, narusza to wymóg niepustości memcpy() i prowadzi do niezdefiniowanego zachowania, powodując zakończenie procesu w buildach z UBSan i odmowę usługi.

libsndfile 1.2.2 zawiera podatność na przepełnienie liczby całkowitej w mat4_read_header() podczas parsowania spreparowanych plików MAT4 (MATLAB v4).

Termix w wersjach od 2.5.0 do 2.5.1 zawiera podatność w punkcie końcowym /homepage/proxy, który przekazuje parametr url do http.get lub https.get bez ograniczeń docelowych. Walidacja URL jest tylko składniowa, co pozwala na żądania do adresów loopback, RFC1918, link-local i metadanych chmury. Uwierzytelniony użytkownik o niskich uprawnieniach może wyeksfiltrować dane wewnętrznych usług i poświadczenia chmury.

Snipe-IT przed wersją 8.7.0 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania plikami na przesyłanie załączników XML i XSLT oraz żądanie ich z parametrem inline=true. Przeglądarka może przetworzyć odniesienie xml-stylesheet i wykonać JavaScript wygenerowany przez arkusz stylów w kontekście Snipe-IT. Ofiara musi otworzyć URL załącznika, po czym skrypt może czytać dane samego pochodzenia i wykonywać uwierzytelnione działania z uprawnieniami ofiary.

Snipe-IT przed wersją 8.7.0 pozwala sesji uwierzytelnionej hasłem dla konta z uprawnieniem self.api na dostęp do API tokenów osobistych przed ukończeniem wyzwania drugiego czynnika, ponieważ CheckForTwoFactor jest egzekwowane w grupie middleware web, ale nie w grupie API. Token może czytać i modyfikować zasoby z uprawnieniami ofiary, a dla administratora może dotrzeć do punktu końcowego users/two_factor_reset, co umożliwia przejęcie konta administratora.

Snipe-IT przed wersją 8.7.0 pozwala użytkownikowi z uprawnieniem customfields.create na przechowywanie znaczników w CustomField.name, które są przypisywane jako nieucieczkowy tytuł nagłówka bootstrap-table. Gdy inny użytkownik otworzy stronę listy zasobów, przechowywane znaczniki wykonują się na stronie w sesji ofiary, co może ujawnić dane samego pochodzenia i wykonać uwierzytelnione działania, w tym eskalację uprawnień.

Pakiety @bsv/wallet-toolbox, @bsv/wallet-toolbox-client i @bsv/wallet-toolbox-mobile w wersjach od 1.1.47 do 2.3.3 (dla pierwszych dwóch) i od 1.3.21 do 2.3.3 (dla trzeciego) mają podatność, która powoduje, że transakcje tworzone przez zdalny StorageClient ufają skryptom blokującym wyjścia zwracanym przez dostawcę bez weryfikacji, czy odpowiadają one żądanym wyjściom. Złośliwy dostawca może podmienić skrypt odbiorcy lub dodać dodatkowe wyjście, co prowadzi do przekierowania środków.

phpMyFAQ przed wersją 4.1.6 ma podatność w metodzie StopWords::add(), która buduje zapytanie SQL INSERT za pomocą sprintf() i wstawia wartość słowa zatrzymanego bezpośrednio do zapytania bez wywołania funkcji eskejpowania bazy danych. Uwierzytelniony administrator może przesłać spreparowaną wartość, która przełamuje literał łańcucha SQL i wstrzykuje dowolny SQL, w tym usuwanie tabel, eksfiltrację danych lub modyfikację innych wierszy.

MongoDB Compass może interpolować nazwę bazy danych bez eskejpowania do początkowego wejścia wbudowanej powłoki MongoDB, gdy użytkownik otwiera powłokę z widoku tej bazy. Użytkownik z uprawnieniami do tworzenia baz danych na serwerze, do którego łączy się użytkownik Compass, może, w określonych warunkach, spowodować, że treść zostanie oceniona jako wejście powłoki w procesie Compass z jego uprawnieniami.

Niewłaściwa neutralizacja specjalnych elementów w logice zapytań danych w implementacji blokady pamięci podręcznej integracji MongoDB dla Laravel może spowodować, że wartość właściciela blokady dostarczona przez wywołującego zostanie oceniona jako wyrażenie agregacji zamiast wartości literału. Uwierzytelniony użytkownik, który może wpływać na wartość właściciela, może przejąć lub przedwcześnie wygasnąć blokadę trzymaną przez inny proces, co może prowadzić do zduplikowanych lub konfliktowych operacji.

W jądrze Linux naprawiono błąd w module ksmbd dotyczący sprawdzania uprawnień DACL. Mechanizm kontroli dostępu nie uwzględniał wpisu ACE dla grupy Authenticated Users (S-1-5-11), co powodowało błędne odrzucanie dostępu (STATUS_ACCESS_DENIED) do plików, do których uwierzytelniony użytkownik powinien mieć prawo. Dodatkowo obliczanie maksymalnego dostępu sumowało maski z wszystkich wpisów ACE, nawet tych niedotyczących bieżącego użytkownika, co mogło przyznawać nieuprawnione prawa.

W jądrze Linux funkcja gb_audio_gb_get_topology() pobiera blob topologii o rozmiarze podanym przez moduł, a gbaudio_tplg_parse_data() używa pól size_dais, size_controls i size_widgets do wyznaczenia przesunięć sekcji bez sprawdzenia ich względem pobranego rozmiaru. Moduł podający mały rozmiar topologii, ale duże rozmiary sekcji, powoduje przesunięcia poza alokację i odczyt poza granicami.