Katalog podatności CVE

Podatność powoduje uszkodzenie pamięci podczas przetwarzania danych z dużymi wartościami przesunięcia i długości, które przekraczają limity bufora podczas operacji kopiowania danych.

Podatność powoduje uszkodzenie pamięci podczas przetwarzania statystyk dekodowania z powodu niewystarczającej walidacji przesunięcia względem rozmiaru struktury.

Podatność powoduje uszkodzenie pamięci podczas kopiowania dużych danych wejściowych, które przekraczają normalne limity alokacji.

W aplikacji GeoVision GV-Remote E-Map występuje podatność typu DLL hijacking. Aplikacja ładuje jedną lub więcej bibliotek DLL z niebezpiecznej ścieżki wyszukiwania, co pozwala lokalnemu atakującemu umieścić złośliwą bibliotekę DLL w lokalizacji przeszukiwanej przed prawidłową lokalizacją biblioteki. W przypadku udanego wykorzystania atakujący z lokalnym dostępem do zapisu w dotkniętym katalogu może uzyskać wykonanie dowolnego kodu w kontekście bezpieczeństwa procesu GV-Remote E-Map.

Aplikacja Affinity by Canva przed wersją 3.3.0 (wydanie z września 2026) nie przeprowadzała odpowiedniego sprawdzania granic podczas analizowania plików dokumentów Affinity, co prowadzi do przepełnienia bufora na stosie. Atakujący może stworzyć dokument Affinity, który po otwarciu przez użytkownika w Affinity może spowodować wykonanie dowolnego kodu.

Zdalny atakujący kontrolujący rejestr kontenerów może przekierować żądanie tokenu klienta do wybranego przez siebie hosta i ujawnić mu poświadczenia rejestru ofiary. Podatność została naprawiona w wersji containerization 0.41.0.

Podatność w bibliotece djust (przed wersją 1.0.7) pozwala nieuwierzytelnionemu klientowi WebSocket na wywołanie importu dowolnego modułu Pythona poprzez spreparowaną ścieżkę widoku. Import wykonywany jest przed weryfikacją klasy LiveView i autoryzacją, a lista dozwolonych modułów jest domyślnie otwarta (fail-open) i używa luźnego dopasowania.

djust przed wersją 1.0.7 nie egzekwuje autoryzacji na poziomie obiektu (get_object + has_object_permission) na trzech ścieżkach renderowania: początkowym renderowaniu HTTP GET, nawigacji SPA url_change oraz osadzonych widokach podrzędnych {% live_render %}. Uwierzytelniony użytkownik może wyświetlać i działać na obiektach, do których nie ma uprawnień, co jest klasycznym IDOR. Problem naprawiono w wersji 1.0.7.

joi (pakiet npm joi, hapi.js) w wersjach >=17.2.0 <17.13.7 oraz >=18.0.0 <18.2.6 jest podatny na odmowę usługi poprzez wyrażenia regularne w regule walidacji Joi.string().isoDate(). Jedno z wyrażeń regularnych zastosowanych do danych wejściowych nie jest zakotwiczone, więc prawidłowa data ISO, po której następuje długi ciąg cyfr ułamkowych sekund, powoduje, że silnik regex rozpoczyna wyszukiwanie od każdej pozycji w ciągu, co daje czas proporcjonalny do kwadratu długości danych wejściowych (około 1,4 s dla 64 KB cyfr i około 22 s dla 256 KB). Zdalny atakujący, który może dostarczyć ciąg do walidacji isoDate, może zatrzymać aplikację pojedynczym żądaniem. Naprawiono w 17.13.7 i 18.2.6; jako obejście należy ograniczyć długość ciągu przed przekazaniem go do joi.

Nodemailer przed wersją 9.1.0 zawiera podatność na kwadratową złożoność czasową w komponencie addressparser, która pozwala zdalnym atakującym wywołać odmowę usługi poprzez dostarczenie spreparowanej listy adresów oddzielonych przecinkami. Atakujący może wysłać pojedynczy e-mail z dużą liczbą adresów, aby zablokować pętlę zdarzeń Node.js na dłuższy czas, zużywając 100% CPU i zamrażając proces.

Craft CMS od wersji 5.0.0-RC1 do przed 5.11.0 nieprawidłowo autoryzuje pola GraphQL draftCreator i revisionCreator. Zamiast wymagać zakresu user-data egzekwowanego przez Gql::canQueryUsers(), pola te są ograniczone tylko do zakresów elements.drafts:read / elements.revisions:read, a ich resolver zwraca surowy element User bez autoryzacji poszczególnych pól. Klient z tylko tymi zakresami może uzyskać adresy e-mail, nazwy użytkowników, pełne nazwiska i adresy pocztowe wszystkich twórców wersji roboczych i rewizji. Problem naprawiono w wersji 5.11.0.

Craft CMS w wersjach 5.10.0–5.10.12 zawiera niekompletną poprawkę CVE-2026-55794 — sink Controller::getPostedRedirectUrl() -> View::renderObjectTemplate() pozostał bez sandboxa, a ten sam commit dodał oracle do samodzielnego podpisywania w Cp::elementLabelHtml(). Ponieważ tokeny HMAC Craft/Yii nie są powiązane z nazwą parametru, uwierzytelniony użytkownik panelu o niskich uprawnieniach z prawem edycji jednego typu elementu może wygenerować token dla kontrolowanego przez atakującego szablonu Twig dla parametru returnUrl i odtworzyć go jako parametr POST przekierowania, osiągając niesandboxowany sink i wstrzyknięcie szablonu po stronie serwera, co prowadzi do wykonania dowolnego kodu PHP. Problem naprawiono w wersji 5.10.13.

Craft CMS w wersjach 4.8.0–4.18.5 oraz 5.0.0–5.10.12 podpisuje kontrolowany przez atakującego cookie license-shun uwierzytelnionego użytkownika tym samym kluczem i formatem, których używa do walidacji podpisanych parametrów przekierowania, ponieważ podpis HMAC nie jest powiązany z celem (cookieValidationKey Yii pochodzi z tego samego securityKey Craft używanego dla podpisanych parametrów żądania). Uwierzytelniony użytkownik niebędący administratorem może ustawić cookie przez endpoint license-shun i przenieść podpisaną kopertę do parametru przekierowania; po udanym logowaniu Craft waliduje podpis i renderuje uwierzytelnione bajty jako niesandboxowany szablon Twig, gdzie filtr map akceptuje callback tekstowy i pozwala PHP system() wykonać dowolne polecenia systemu operacyjnego jako użytkownik serwera WWW. Eksploatacja wymaga konta z uwierzytelnianiem hasłem bez aktywnego 2FA, domyślnej konfiguracji żądań i dostępności PHP system(). Problem naprawiono w wersjach 4.18.6 i 5.10.13.

AVideo (WWBN/AVideo) do wersji 29.0 jest podatny na cross-site request forgery (CSRF). Mechanizm ochrony CSRF jest wyłączany, gdy w żądaniu obecne są parametry 'user' i 'pass', ale ich wartości nie są weryfikowane. Atakujący może wykorzystać to do modyfikacji rekordów wideo, w tym przeniesienia własności, usunięcia ograniczeń dostępu i innych zmian.

Wtyczka CloneSite w AVideo do wersji 29.0 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego (OS command injection) typu stored. Hasło SSH przechowywane w konfiguracji jest podstawiane do polecenia `sshpass -p '{password}' rsync ...` bez odpowiedniego escapowania, co pozwala na wstrzyknięcie dowolnego polecenia przez znak pojedynczego cudzysłowu. Atak wymaga uprzedniego nakłonienia administratora do zapisania złośliwego hasła przez wektor CSRF, a następnie wykonania zaplanowanego zadania cron.

WWBN AVideo do wersji 29.0 zawiera podatność obejścia uwierzytelniania, w której przechowywany hash hasła jest akceptowany jako prawidłowe poświadczenie logowania przez dwie niezależne ścieżki kodu w loginFromRequest() i encryptPasswordVerify(). Atakujący, który uzyska wartość przechowywanego hasha users.password, może uwierzytelnić się jako dowolny użytkownik, przesyłając hash bezpośrednio do endpointów logowania, całkowicie omijając weryfikację hasła.

W AVideo do wersji 29.0 endpoint API get_api_video zawiera podatność złamanej kontroli dostępu w gałęzi clean_title, która zwraca filmy ograniczone do grup użytkowników wraz z danymi osobowymi właściciela anonimowym wywołującym. Atakujący mogą odpytywać filmy po ich publicznym slug, aby obejść ograniczenia grupowe i uzyskać wrażliwe pola użytkownika, w tym email, telefon, adres, datę urodzenia i status administratora.

HKUDS nanobot przed wersją 0.3.0 zawiera podatność server-side request forgery w komponencie WebFetchTool, gdzie funkcja _validate_url() nie blokuje wewnętrznych zakresów IP i adresów prywatnych. Atakujący mogą wysyłać wiadomości instruujące bota, aby pobierał endpointy metadanych chmury, usługi localhost i adresy RFC 1918 w celu wyodrębnienia poświadczeń IAM i danych usług wewnętrznych.

W quay-builder-qemu wykryto lukę. Zdalny atakujący może ją wykorzystać, kompromitując upstreamową akcję Noelware/docker-manifest-action używaną w workflow wydania, która jest przypięta do mutowalnej gałęzi. Pozwala to atakującemu wstrzyknąć dowolny kod, co prowadzi do eksfiltracji wrażliwych poświadczeń rejestru lub publikacji złośliwych obrazów. Workflow ujawnia również domyślny token GitHub, co zwiększa wagę kompromitacji.

W bibliotece djust przed wersją 1.0.7 sesje SSE były identyfikowane wyłącznie przez wybrany przez klienta parametr session_id, bez powiązania z uwierzytelnionym użytkownikiem. Atakujący, który pozna session_id ofiary, mógł połączyć się z endpointem wiadomości i wywoływać handlery zdarzeń działające w kontekście tożsamości i stanu ofiary.