Katalog podatności CVE

W Wazuh Manager w wersjach 4.0.0-4.10.3 i 4.11.0-4.14.4 wykryto błąd logiczny w demonach authd i remoted. Podczas rejestracji agenta możliwe jest użycie sekwencji nawigacji po katalogach (np. „..”) w nazwie grupy, co pozwala na dostęp do plików poza dozwolonym katalogiem. W rezultacie wrażliwe pliki, takie jak client.keys, ossec.conf i certyfikaty wewnętrzne, są udostępniane atakującemu.

W Wazuh w wersjach od 1.0.0 do 4.14.4 wykryto podatność na przepełnienie sterty w komponencie wazuh-analysisd. Nieuwierzytelniony atakujący może zdalnie wykorzystać domyślną konfigurację, aby wysłać spreparowane zdarzenia rootcheck, powodując przepełnienie bufora i zatrzymanie silnika analizy. Prowadzi to do całkowitej utraty przetwarzania alertów SIEM, podczas gdy panel i API nadal wyświetlają nieaktualne dane.

Serwer HTTP h2o przed commit 6b5370d jest podatny na atak DoS polegający na alokacji zbyt dużej pamięci na stosie za pomocą alloca. Przy serwowaniu plików statycznych rozmiar alokacji może sięgać ~600KB, co przekracza domyślny rozmiar stosu wątków w musl libc (128KB), powodując segfault i crash serwera.

Quicly, implementacja protokołu QUIC w H2O, przed commitem 8b178e6 jest podatna na atak DoS poprzez uszkodzenie stanu połączenia. Biblioteka akceptuje Connection ID o długości do 255 bajtów, ale bufory CID są ograniczone do 20 bajtów, co prowadzi do przepełnienia bufora i asercji.

W implementacji protokołu QUIC o nazwie Quicly, używanej głównie w serwerze HTTP H2O, przed zatwierdzeniem 937d0e9 występuje błąd asercji. Błąd jest wyzwalany, gdy łączna liczba prawidłowych komunikatów uzgadniania odebranych w strumieniu CRYPTO w jednej przestrzeni numerów pakietów przekroczy 32 KB, co prowadzi do odmowy usługi (DoS).

W wger przed wersją 2.6 trener siłowni może eskalować swoje uprawnienia do konta menedżera siłowni lub dyrektora generalnego poprzez sekwencję dwóch żądań do endpointu logowania trenera. Po zalogowaniu się na konto o niskich uprawnieniach flaga sesji `trainer.identity` jest ustawiana i omija ona kontrolę dostępu w kolejnych wywołaniach.

W aplikacji wger przed wersją 2.6 uwierzytelniony użytkownik może odczytać prywatne notatki treningowe, historię ćwiczeń i statystyki innego użytkownika, wywołując akcje /logs/ i /stats/ na rutynie, której nie jest właścicielem. Podatność wynika z błędnego sprawdzania uprawnień w RoutineViewSet, które przyznaje dostęp do odczytu każdemu uwierzytelnionemu użytkownikowi, gdy rutyna ma ustawione is_template=True.

Przepełnienie lub zawinięcie liczby całkowitej w Windows Terminal umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.

Windows Backup Engine zawiera podatność wyścigu (race condition) podczas współbieżnego dostępu do współdzielonych zasobów. Umożliwia ona autoryzowanemu atakującemu lokalne podniesienie uprawnień.

Podatność w bibliotece YAML::Syck dla Perla przed wersją 1.47 umożliwia odczyt poza zakresem pamięci przez nieskończone skanowanie znaku nowej linii w funkcji newline_len. Problem występuje podczas przetwarzania blokowych skalarów na granicy dokumentu, gdzie skanowanie wykracza o jeden bajt poza bufor sterty.

W bibliotece YAML::Syck dla Perla przed wersją 1.47 wykryto podatność use-after-free na stercie. Problem występuje, gdy nazwa zakotwiczenia (anchor) jest ponownie używana jako klucz w tablicy zakotwiczeń w funkcji syck_hdlr_add_anchor, co prowadzi do odczytu zwolnionej pamięci.

W procesie instalacji i dezinstalacji klientów Zoom dla systemu Windows wykryto błąd typu TOCTOU (time-of-check to time-of-use). Może on pozwolić uwierzytelnionemu użytkownikowi lokalnemu na eskalację uprawnień.

W systemie zarządzania treścią Kirby przed wersjami 4.9.1 i 5.4.1 wykryto podatność polegającą na braku filtrowania złośliwych adresów URL w metodach URL dla komponentów KirbyTags i bloków obrazów. Atakujący może wykorzystać formaty URL, takie jak `javascript://x%0A…`, aby ominąć ochronę przed prostymi `javascript:` URL i doprowadzić do wykonania skryptu.

W Kirby CMS w wersjach od 5.3.0 do 5.4.0 wykryto podatność na path traversal. System nieprawidłowo walidował identyfikator użytkownika, co pozwalało atakującemu na wczytanie dowolnego pliku PHP o nazwie index.php oraz na badanie struktury katalogów serwera.

Kirby CMS w wersjach przed 4.9.1 i 5.4.1 nie zabezpiecza poprawnie zawartości pola listy podczas zapisu, co umożliwia atak XSS. Atakujący może ominąć panel administracyjny i przesłać złośliwy kod HTML bezpośrednio do API, który zostanie wykonany w przeglądarkach odwiedzających stronę.

Kirby CMS przed wersjami 4.9.1 i 5.4.1 nie waliduje atrybutów modeli używanych w zapytaniach kolekcji, co pozwala atakującym na wywoływanie dowolnych metod modeli. Może to prowadzić do ujawnienia wrażliwych danych (np. hashy haseł, ścieżek systemowych) lub wykonania destrukcyjnych akcji (np. eskalacji uprawnień, masowego usuwania modeli).

WWBN AVideo w wersjach 29.0 i starszych jest podatny na wstrzykiwanie poleceń systemu operacyjnego. Poprawka dla CVE-2026-33482 była niekompletna i nie usuwa pojedynczego znaku & (operatora tła powłoki), co pozwala na łączenie wielu poleceń.

W procesie instalacji i dezinstalacji niektórych klientów Zoom dla systemu Windows wykryto podatność typu TOCTOU (time-of-check to time-of-use). Może ona pozwolić uwierzytelnionemu użytkownikowi lokalnemu na eskalację uprawnień.

W aplikacji Zoom Rooms dla systemu Windows przed wersją 7.1.0 wykryto nieprawidłowe zarządzanie uprawnieniami. Uwierzytelniony użytkownik może wykorzystać tę podatność do eskalacji swoich uprawnień poprzez dostęp lokalny.

Docling Core w wersjach od 1.5.0 do 2.74.1 nie ograniczał wystarczająco zdalnych żądań i niebezpiecznie przetwarzał nagłówek Content-Disposition, co umożliwiało dostęp do lokalnych plików poza katalogiem cache. Podatność pozwala na ataki SSRF w aplikacjach akceptujących niezaufane adresy URL.