Katalog podatności CVE

anyRTC-RTMP-OpenSource przed wersją 1.0 ma podatność na nieprawidłowe ograniczenie operacji w obrębie bufora pamięci w module third_party/faad2-2.7/libfaad, w plikach bits.C i syntax.C. Może to prowadzić do awarii lub naruszenia bezpieczeństwa.

Beat-access dla systemu Windows w wersji 3.0.3 i wcześniejszych zawiera problem z ścieżką wyszukiwania DLL, co może prowadzić do niebezpiecznego ładowania dynamicznych bibliotek. W rezultacie może zostać wykonany dowolny kod z uprawnieniami SYSTEM.

Podatność CVE-2026-1361 dotyczy przepełnienia bufora na stosie w oprogramowaniu ASDA-Soft. Może to prowadzić do nieautoryzowanego dostępu do pamięci i potencjalnego wykonania złośliwego kodu.

MobSF to narzędzie do testowania bezpieczeństwa aplikacji mobilnych. W wersjach przed 4.4.5 występuje podatność typu Stored Cross-site Scripting (XSS) w analizie manifestu Androida, która pozwala atakującemu na wykonanie dowolnego kodu JavaScript w kontekście sesji przeglądarki ofiary poprzez przesłanie złośliwego pliku APK.

Biblioteka Python-Multipart przed wersją 0.0.22 zawiera podatność na Path Traversal przy użyciu niestandardowych opcji konfiguracyjnych UPLOAD_DIR i UPLOAD_KEEP_FILENAME=True. Atakujący może zapisać przesłane pliki w dowolnej lokalizacji w systemie plików poprzez spreparowaną nazwę pliku.

QGIS przed commit 76a693cd91650f9b4e83edac525e5e4f90d954e9 ma podatność na zdalne wykonanie kodu w workflow GitHub Actions 'pre-commit checks', ponieważ używa wyzwalacza pull_request_target i wykonuje niezaufany kod z pull requestów w uprzywilejowanym kontekście. Może to prowadzić do przejęcia repozytorium.

HUSTOF to otwartoźródłowy system oceny online oparty na PHP/C++/MySQL/Linux, używany w treningach ACM/ICPC i NOIP. W wersjach przed 26.01.24 moduły problem_import_qduoj.php i problem_import_hoj.php nieprawidłowo sanitizują nazwy plików w przesyłanych archiwach ZIP, co umożliwia atakującym wykonanie złośliwego kodu.

AnythingLLM przed wersją 1.10.0 ma krytyczną podatność na przechodzenie po ścieżkach (Path Traversal) w integracji DrupalWiki, co pozwala złośliwemu administratorowi (lub atakującemu, który przekona administratora do skonfigurowania złośliwego adresu URL DrupalWiki) na zapisywanie dowolnych plików na serwerze. Może to prowadzić do zdalnego wykonania kodu (RCE).

AnythingLLM przed wersją 1.10.0, gdy jest skonfigurowany z Qdrant jako bazą wektorową z kluczem API, może ujawnić ten klucz w postaci zwykłego tekstu nieuwierzytelnionym użytkownikom przez endpoint `/api/setup-complete`. Ujawnienie klucza pozwala atakującemu na pełny dostęp do bazy wektorowej Qdrant.

W systemie zarządzania autobusami Hisense TransTech Smart Bus Management System do wersji 20260113 znaleziono lukę. Manipulacja argumentem 'key' w funkcji Page_Load pliku TireMng.aspx może prowadzić do ataku typu SQL injection, który można przeprowadzić zdalnie.

D-Link DIR-615 do wersji 4.10 ma podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku /wiz_policy_3_machine.php w interfejsie zarządzania siecią. Manipulacja argumentem ipaddr umożliwia zdalne wykonanie poleceń. Exploit jest publiczny, a produkt nie jest już wspierany.

Skipper to router HTTP i reverse proxy dla kompozycji usług. W wersjach przed 0.24.0, użytkownicy z uprawnieniami do tworzenia Ingress i usługi typu ExternalName mogli tworzyć trasy, które umożliwiały im dostęp do wewnętrznych usług za pośrednictwem Skippera.

W wersjach od 1.4.0 do 3.27.7 biblioteki AssertJ występuje podatność typu XML External Entity (XXE) w metodzie `toXmlDocument(String)` klasy `XmlStringPrettyFormatter`. Problem polega na tym, że `DocumentBuilderFactory` jest inicjowany z domyślnymi ustawieniami, co nie wyłącza DTD ani zewnętrznych encji.

BentoML to biblioteka Pythona do budowania systemów serwujących zoptymalizowanych dla aplikacji AI i wnioskowania modeli. W wersjach przed 1.4.34, konfiguracja `bentofile.yaml` w BentoML umożliwia ataki typu path traversal poprzez różne pola ścieżek plików, co pozwala na wykradanie dowolnych plików z systemu plików.

Podatność CVE-2025-30248 dotyczy instalatora WD Discovery firmy Western Digital w wersji 5.2.730 na systemie Windows. Polega na przejęciu biblioteki DLL (DLL hijacking), co pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez umieszczenie spreparowanej biblioteki DLL w ścieżce wyszukiwania instalatora.

vm2 to otwarte źródło vm/sandbox dla Node.js. W wersjach przed 3.10.2, sanizacja callbacków `Promise.prototype.then` i `Promise.prototype.catch` może zostać ominięta, co pozwala atakującym na ucieczkę z sandboxa i uruchomienie dowolnego kodu.

Podatność w dcap-qvl przed wersją 0.3.9 polega na pominięciu weryfikacji podpisu QE Identity oraz braku egzekwowania ograniczeń polityki na QE Report. Atakujący może sfałszować dane QE Identity, aby dodać do białej listy złośliwą lub nie-Intel Quoting Enclave, co pozwala na podpisywanie niezaufanych cytatów akceptowanych przez weryfikatora.

Podatność typu SQL Injection występuje w strukturze dla uwierzytelnionego użytkownika administracyjnego. Może to pozwolić atakującemu na wykonanie nieautoryzowanych zapytań do bazy danych.

W pakietach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) wykryto wiele podatności typu odmowa usługi (DoS). Specjalnie spreparowane żądania HTTP do punktów końcowych Server Function mogą powodować awarie serwera, wyjątki braku pamięci lub nadmierne zużycie CPU.

W projekcie Online Music Site 1.0 odkryto lukę, która dotyczy nieznanej funkcjonalności pliku /Administrator/PHP/AdminDeleteUser.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.