Katalog podatności CVE

go-ethereum (geth) to implementacja warstwy wykonawczej protokołu Ethereum w języku golang. Przed wersją 1.16.9, podatny węzeł może zostać zmuszony do zamknięcia lub awarii za pomocą specjalnie przygotowanej wiadomości.

W `httpsig-hyper` przed wersją 0.0.23 wystąpił problem z weryfikacją nagłówka Digest, który mógł niepoprawnie zwracać sukces z powodu niewłaściwego użycia makra `matches!` w Rust. W rezultacie, weryfikacja digestu mogła nie wykrywać modyfikacji treści wiadomości HTTP.

RustFly w wersji 2.0.0 zawiera podatność na wstrzykiwanie poleceń w swoim zdalnym mechanizmie kontroli UI, który akceptuje instrukcje zakodowane w formacie hex przez port UDP 5005 bez odpowiedniej sanitizacji. Atakujący mogą wysyłać spreparowane ładunki hex, które zawierają polecenia systemowe do wykonania dowolnych operacji na docelowym systemie.

W podatności CVE-2026-27343 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy wersji Airtifact od n/a do 1.2.91 włącznie.

NanaZip to otwartoźródłowy program do archiwizacji plików. W wersjach od 5.0.1252.0 do 6.0.1630.0 występuje problem z cyklicznymi łańcuchami `NextOffset`, co prowadzi do nieskończonej pętli w parserze archiwów ROMFS. Problem został naprawiony w wersji 6.0.1630.0.

W go-ethereum (geth), przed wersją 1.17.0, atakujący mógł spowodować wysokie zużycie pamięci poprzez wysłanie specjalnie przygotowanej wiadomości p2p. Problem został rozwiązany w wersji 1.17.0.

SillyTavern to lokalnie zainstalowany interfejs użytkownika, który umożliwia interakcję z modelami generacji tekstu oraz obrazów. W wersjach przed 1.16.0 występuje podatność typu Server-Side Request Forgery (SSRF) w punkcie końcowym pobierania zasobów, która pozwala uwierzytelnionym użytkownikom na wykonywanie dowolnych żądań HTTP z serwera oraz odczytywanie pełnej odpowiedzi, co umożliwia dostęp do wewnętrznych usług i zasobów sieci prywatnej.

W RUCKUS Network Director (RND) w wersjach poniżej 4.5.0.56, urządzenie OVA zawiera hardkodowane klucze SSH dla użytkownika postgres. Klucze te są identyczne we wszystkich wdrożeniach, co umożliwia atakującemu z dostępem do sieci uwierzytelnienie się przez SSH bez hasła.

Fabric.js to biblioteka JavaScript do obsługi HTML5 canvas. W wersjach przed 7.2.0, podczas eksportu SVG, nieprawidłowo obsługiwano wartości tekstowe, co pozwalało na wstrzykiwanie niebezpiecznych elementów SVG przez atakującego.

Biblioteka systeminformation dla Node.js przed wersją 5.31.0 zawiera podatność na wstrzyknięcie poleceń przez niesanitowane dane wyjściowe funkcji `locate` w metodzie `versions()`. Atakujący może wykorzystać tę lukę do wykonania dowolnych poleceń systemowych.

Biblioteka systeminformation dla Node.js zawiera podatność na wstrzykiwanie poleceń w funkcji `wifiNetworks()`. W kodzie ponawiania skanowania sieci Wi-Fi parametr `iface` nie jest sanityzowany, co pozwala atakującemu na wykonanie dowolnych poleceń systemowych.

Podatność w bibliotece fast-xml-parser umożliwia atak DoS poprzez nieograniczoną ekspansję encji XML. Nawet mały plik XML może spowodować długotrwałe przetwarzanie i zamrożenie aplikacji.

Podatność w soroban-sdk, przed wersjami 22.0.10, 23.5.2 i 25.1.1, dotyczy błędu w makrze `#[contractimpl]`, które niewłaściwie łączy wywołania funkcji. W przypadku zdefiniowania funkcji o tej samej nazwie w bloku `impl MyContract`, wywoływana jest funkcja inherentna zamiast funkcji z traitu, co może prowadzić do pominięcia ważnych kontroli bezpieczeństwa.

Wtyczka opa-envoy-plugun przed wersją 1.13.2-envoy-2 nieprawidłowo konstruuje pole `input.parsed_path`, traktując ścieżki HTTP jako pełne URI. Prowadzi to do pomijania segmentów ścieżki zaczynających się od podwójnego ukośnika (`//`), co powoduje rozbieżność w interpretacji ścieżki między politykami autoryzacji a serwerami backendowymi.

Penpot to narzędzie do projektowania i współpracy nad kodem, które przed wersją 2.13.2 pozwalało uwierzytelnionym użytkownikom na odczyt dowolnych plików z serwera, podając lokalną ścieżkę pliku jako część danych czcionki w punkcie końcowym `create-font-variant`. To prowadzi do możliwości odczytu wrażliwych plików systemowych i danych aplikacji.

emp3r0r to system C2 zaprojektowany przez użytkowników Linuksa dla środowisk Linuksowych. W wersjach przed 3.21.2, wiele współdzielonych map jest dostępnych bez spójnej synchronizacji między goroutines, co może prowadzić do awarii procesu C2.

W HDF5 przed wersją 1.14.4-2 wykryto podatność polegającą na przepełnieniu sterty (heap buffer overflow) podczas zapisu, którą można wykorzystać poprzez kontrolowany plik `h5`. Atakujący może doprowadzić do odmowy usługi (DoS), a w sprzyjających warunkach potencjalnie do zdalnego wykonania kodu (RCE).

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.6.44 pozwalała na modyfikację historii czatu, co umożliwiało ustawienie właściwości `embeds` w wiadomości odpowiedzi. To prowadziło do przechowywanego ataku XSS, który można było wykorzystać poprzez linki udostępniane innym użytkownikom.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.7.0 pozwalała na ręczne modyfikowanie historii czatu, co umożliwiało ustawienie właściwości `html` w metadanych dokumentu. To prowadziło do sytuacji, w której zawartość dokumentu była traktowana jako HTML i renderowana w iFrame podczas podglądu cytatu, co skutkowało możliwością przeprowadzenia ataku XSS.

CediPay to aplikacja do wymiany kryptowalut na walutę fiducjarną dla rynku ghańskiego. Podatność w wersjach przed 1.2.3 umożliwia atakującym ominięcie walidacji danych wejściowych w API transakcyjnym. Problem został naprawiony w wersji 1.2.3.