Katalog podatności CVE

W jądrze Linuxa stwierdzono podatność w sterowniku VFIO/PCI, polegającą na nieprawidłowej kolejności operacji podczas zamykania urządzenia. Przed wyłączeniem funkcji PCI nie są czyszczone bufory DMABUF, co stwarza okno czasowe, w którym po wyczyszczeniu bitu MSE (Memory Space Enable) dostęp do BAR-ów jest nadal możliwy przez DMABUF, a zasoby mogą zostać przejęte przez inny sterownik.

W jądrze Linux w systemie plików F2FS odkryto podatność polegającą na braku synchronizacji dostępu do listy rozszerzeń plików. Funkcja f2fs_sbi_show() odczytuje listę rozszerzeń, licznik rozszerzeń i licznik gorących rozszerzeń bez trzymania blokady sb_lock, co przy jednoczesnej modyfikacji listy przez sysfs może prowadzić do odczytu niespójnych danych, a w konsekwencji do dostępu poza zakres pamięci lub wyświetlania nieaktualnych informacji.

W jądrze Linux wykryto podatność use-after-free w sterowniku sieciowym enetc, związaną z obsługą buforów DMA w mechanizmie NTMP. Błąd może prowadzić do cichego uszkodzenia pamięci, gdy nieudane polecenie NTMP nie jest anulowane, a bufor DMA jest zwalniany, podczas gdy sprzęt może nadal wykonywać do niego zapis.

W jądrze Linux w sterowniku DRM dla układów Intel Xe wykryto podatność polegającą na wywołaniu funkcji drm_dev_put() przed wyłączeniem strumienia eustall i zwolnieniem jego zasobów. Może to prowadzić do użycia po zwolnieniu (use-after-free), gdy ostatnie odwołanie do urządzenia zostanie usunięte przed zakończeniem operacji czyszczących.

W jądrze Linux w systemie plików Btrfs wykryto błąd, w którym podczas zapisu transakcji, po nieudanym zapisie, przedwcześnie czyszczono strukturę danych śledzącą brudne strony (dirty_pages io tree). Powodowało to, że brudne bufory nie były poprawnie czyszczone przy odmontowywaniu, wywołując ostrzeżenia i potencjalne problemy ze stabilnością systemu.

W jądrze Linux w podsystemie IOMMU dla Intel VT-d wykryto podatność polegającą na wywołaniu dereferencji wskaźnika NULL lub uszkodzeniu licznika referencji. Problem występuje, gdy funkcja teardown jest wykonywana bez sprawdzenia, czy struktura dev_pasid istnieje, co może prowadzić do awarii systemu lub naruszenia bezpieczeństwa pamięci.

W OpenProject przed wersjami 17.3.3 i 17.4.1 występuje podatność CSRF na ścieżce /users/:id przez parametr POST user[admin]. Atakujący może wykorzystać tę lukę do nieautoryzowanej zmiany uprawnień administratora.

OpenProject w wersjach przed 17.3.3 i 17.4.1 przechowuje token OAuth dostępu do OneDrive/SharePoint w postaci jawnego tekstu w pamięci podręcznej Rails.cache pod deterministycznym kluczem. Token jest regularnie odświeżany przez zadanie cron i wywołania OAuth, a żaden z dozwolonych backendów cache (file_store, memcache, redis) nie szyfruje danych w spoczynku.

W RustFS 1.0.0-beta.4 uwierzytelnieni użytkownicy z uprawnieniem PutObject na własnym zasobniku mogą wykorzystać podatność typu path traversal w funkcji automatycznego wyodrębniania Snowball do zapisywania dowolnych obiektów w zasobnikach innych użytkowników, całkowicie łamiąc izolację wielodostępową. Podatność łączy trzy błędy: brak sanityzacji ../ w normalizacji kluczy wpisów tar, dopasowywanie symboli wieloznacznych IAM na surowych (nieoczyszczonych) ścieżkach oraz czyszczenie ścieżek systemu plików rozwiązujące ../ poza granicami zasobników.

Podatność w OpenProject przed wersjami 17.3.3 i 17.4.1 umożliwia endpointowi journal diff ujawnianie ukrytych historycznych wartości pól bez sprawdzania widoczności obiektów i pól.

W urządzeniu Cudy LT300 w wersji oprogramowania starszej niż 2.5.12 występuje podatność na wstrzykiwanie poleceń systemu operacyjnego. Uwierzytelniony atakujący może wysłać złośliwe dane do parametru cbid.system.ntp.current w interfejsie konfiguracji czasu systemowego, co pozwala na zdalne wykonanie dowolnych poleceń.

Podatność w Envoy pozwala na awarię serwera proxy podczas używania formatu logu %REQUESTED_SERVER_NAME(X:Y)% z opcjami związanymi z hostem, gdy nagłówek hosta jest nieobecny w żądaniu. Problem występuje w wersjach od 1.37.0 do 1.37.5 oraz 1.38.3.

Podatność w Devolutions Remote Desktop Manager umożliwia uwierzytelnionemu atakującemu z dostępem do zapisu w udostępnionym obszarze roboczym wykonanie skryptu PowerShell w kontekście innego użytkownika poprzez kolizję nazw wyświetlanych z istniejącym linkiem do skryptu VPN. Problem dotyczy niestandardowego edytora VPN PowerShell w wersjach 2026.2.5 do 2026.2.11.

Podatność w bibliotece extract-zip polega na braku walidacji celów dowiązań symbolicznych podczas rozpakowywania archiwów zip. Atakujący może dostarczyć złośliwy plik zip zawierający dowiązanie symboliczne ze ścieżką względną, np. '../../../../etc/passwd', co pozwala na wskazanie poza katalog docelowy. W zależności od sposobu użycia biblioteki, możliwy jest odczyt lub zapis dowolnych plików.

Podatność w narzędziu mise (wersje przed 2026.6.4) umożliwia zdalne wykonanie kodu bez interakcji użytkownika. Mechanizm zaufania (trust) nie obejmuje plików zadań (task-include), co pozwala na wykonanie dowolnych poleceń przez tera templates z funkcją exec(). Wystarczy wejść do katalogu z repozytorium i wyświetlić listę zadań (np. mise tasks) lub użyć autouzupełniania Tab.

Podatność w DragonflyDB przed wersją 1.39.0 pozwala na zdalne zatrzymanie serwera poprzez wysłanie spreparowanego polecenia RESTORE. Specjalnie skonstruowany ładunek powoduje odczyt poza dozwolonym obszarem pamięci podczas ładowania kolekcji listpack, co prowadzi do awarii procesu (SIGSEGV).

Envoy przed wersjami 1.35.11, 1.36.7, 1.37.3 i 1.38.1 nieprawidłowo przetwarza żądania HTTP/3 z nagłówkiem Content-Length o wartości niezerowej, które są zakończone na poziomie transportu (HEADERS z FIN). Powoduje to wysłanie do backendu HTTP/1 żądania z niezapłaconym długiem ciała, co umożliwia desynchronizację i ominięcie reguł routingu.

W Envoy od wersji 1.23.0 do 1.35.11, 1.36.7, 1.37.3 i 1.38.1 wykryto podatność w implementacji dekompresora zstd (ZstdDecompressorImpl). Przetwarzanie specjalnie spreparowanego, silnie skompresowanego ładunku zstd może prowadzić do ogromnej alokacji pamięci. Atakujący może wykorzystać tę podatność do wyczerpania pamięci, co skutkuje zabiciem procesu przez OOM i odmową usługi (DoS) dla proxy Envoy.

W Envoy, otwartoźródłowym proxy brzegowym i usługowym dla aplikacji chmurowych, destruktor obiektu JSON powoduje przepełnienie stosu przy głęboko zagnieżdżonych obiektach (rzędu 100 tys. poziomów). Podatność występuje przed wersjami 1.35.11, 1.36.7, 1.37.3 i 1.38.1.

Pagekit CMS 1.0.18 zawiera podatność na eskalację uprawnień, która pozwala uwierzytelnionym użytkownikom z uprawnieniem 'user: manage users' na przypisanie sobie dowolnych niestandardowych ról z powodu braku kontroli autoryzacji w metodzie UserApiController::saveAction(). Atakujący może przypisać sobie rolę z uprawnieniem 'system: manage packages', a następnie przesłać i zainstalować złośliwy pakiet PHP przez instalator pakietów w panelu administracyjnym, co prowadzi do zdalnego wykonania kodu.