Katalog podatności CVE

Podatność w komponencie Networking przeglądarki Firefox i klienta poczty Thunderbird umożliwia obejście polityki same-origin (SOP) w modelu DOM. Luka została naprawiona w wersjach 151 obu produktów.

Podatność w Apache Camel pozwala na wstrzykiwanie nagłówków wewnętrznych przez niezaufane żądania HTTP do endpointów CXF i Knative. Brak filtrowania przychodzących nagłówków umożliwia atakującemu nadpisanie kluczowych nagłówków Camel, co może prowadzić do zdalnego wykonania kodu lub zapisu dowolnych plików.

HestiaCP w wersjach od 1.9.0 do 1.9.4 zawiera podatność deserializacji w komponencie terminala webowego, spowodowaną niezgodnością formatu sesji między PHP a Node.js. Umożliwia ona nieuwierzytelnionym zdalnym atakującym wykonanie kodu na poziomie roota poprzez wstrzyknięcie spreparowanych danych do nagłówków HTTP.

Wtyczka Piotnet Forms dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'piotnetforms_ajax_form_builder' w wersjach do 2.1.40 włącznie. Wtyczka używa niekompletnej czarnej listy rozszerzeń, co pozwala na przesyłanie niebezpiecznych plików.

W jądrze Linuxa wykryto podatność w module pcrypt, która nieprawidłowo obsługuje żądania z flagą MAY_BACKLOG. Żądania te mogą zwracać kod błędu EBUSY, co wymaga odpowiedniego sprawdzenia i odfiltrowania powiadomień EINPROGRESS.

Rozszerzenie przekazuje ciasteczko kontrolowane przez atakującego bezpiecznie przetwarzając dane do funkcji PHP unserialize(). Zdalny, nieautoryzowany atakujący może dostarczyć spreparowany ładunek, co prowadzi do wstrzyknięcia obiektów PHP i zdalnego wykonania kodu na serwerze TYPO3.

W podatności CVE-2026-45434 w Apache OFBiz występuje błąd w logice zmiany hasła, który może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji przed 24.09.06.

W podatności CVE-2026-41919 występuje niewłaściwa neutralizacja specjalnych elementów używanych w zapytaniach LDAP, co prowadzi do podatności na ataki typu LDAP Injection w Apache OFBiz.

Podatność związana z użyciem zakodowanego klucza kryptograficznego w Apache OFBiz. Problem dotyczy wersji przed 24.09.06.

W MLflow w wersji 3.9.0 funkcja Asystenta MLflow zawiera podatność polegającą na nieprawidłowej walidacji pochodzenia żądań w punktach końcowych /ajax-api. Umożliwia to zdalnemu atakującemu wykorzystanie żądań międzyoriginowych ze złośliwej strony internetowej do interakcji z Asystentem MLflow działającym na lokalnym komputerze ofiary.

Wtyczka Piotnet Addons for Elementor Pro dla WordPress do wersji 7.1.70 włącznie ma podatność na dowolne przesyłanie plików z powodu niekompletnej czarnej listy rozszerzeń – blokuje tylko php, phpt, php5, php7 i exe, ale pozwala na .phar i .phtml.

W sterowniku amazon-redshift-python-driver przed wersją 2.1.14, funkcja vector_in() używa niebezpiecznej funkcji eval() na danych otrzymanych z serwera. Pozwala to złośliwemu serwerowi lub atakującemu typu man-in-the-middle na wykonanie dowolnego kodu na kliencie. Aby usunąć podatność, należy zaktualizować sterownik do wersji 2.1.14.

Dokploy w wersji 0.26.6 i niższych ma podatność na wstrzykiwanie poleceń OS przez parametr appName z powodu niedostatecznego oczyszczania danych wejściowych i interpolacji w powłoce.

WebdriverIO w wersjach poniżej 9.24.0 zawiera podatność na wstrzyknięcie komend, prowadzącą do zdalnego wykonania kodu (RCE) podczas orkiestracji testów. Git pozwala na używanie znaków specjalnych w nazwach gałęzi, a funkcja getGitMetadataForAISelection() używa tych nazw bezpośrednio w wywołaniach execSync() bez sanityzacji. Atakujący może wykorzystać złośliwe repozytorium z odpowiednio spreparowaną nazwą gałęzi, aby wykonać dowolny kod na serwerach CI/CD i maszynach deweloperskich.

W bibliotece lwIP do wersji 2.2.1 znaleziono podatność w funkcji snmp_parse_inbound_frame pliku src/apps/snmp/snmp_msg.c komponentu obsługi SNMPv3 USM. Manipulacja argumentem msgAuthenticationParameters prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie. Dostępna jest poprawka o nazwie 0c957ec03054eb6c8205e9c9d1d05d90ada3898c.

Podatność typu path traversal w DumbAssets do wersji 1.0.11 w endpointcie POST /api/delete-file oraz parametrze tablicy filesToDelete pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych plików poprzez sekwencje ../ omijające walidację granic katalogów. Atakujący mogą wykorzystać opcjonalną i domyślnie wyłączoną kontrolę uwierzytelniania, aby wyjść poza zamierzony katalog aplikacji i usunąć krytyczne pliki, takie jak server.js lub package.json, powodując całkowitą odmowę usługi.

Nieprawidłowa autoryzacja w Azure Local Disconnected Operations umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.

W oprogramowaniu NOVUS AirGate 4G w wersji 1.1.16 wykryto podatność w punkcie końcowym /uci/get/. Brak odpowiedniej kontroli dostępu umożliwia nieuwierzytelnionemu atakującemu uzyskanie danych logowania administratora poprzez spreparowane żądanie POST.

Podatność w ChromaDB Python (wersja 1.0.0 i nowsze) umożliwia niezautoryzowanemu atakującemu wykonanie dowolnego kodu na serwerze poprzez wysłanie złośliwego repozytorium modeli z włączoną opcją trust_remote_code do endpointu /api/v2/tenants/{tenant}/databases/{db}/collections. Luka występuje przed uwierzytelnieniem.

Wersja 1.14.1 i wcześniejsze Dify zawierają podatność na przejście ścieżki, która pozwala uwierzytelnionym użytkownikom manipulować żądaniami kierowanymi do wewnętrznego API REST Plugin Daemon. Atakujący mogą wykorzystać niewystarczające oczyszczanie ścieżek URL, aby uzyskać dostęp do wewnętrznych punktów końcowych.