Katalog podatności CVE

W Electronie przed wersjami 38.8.6, 39.8.4, 40.8.4 i 41.0.0 stwierdzono nieprawidłowe zakresowanie ustawienia nodeIntegrationInWorker. W pewnych scenariuszach współdzielenia procesów, workerzy uruchomieni w ramkach z wyłączoną integracją Node.js mogli ją otrzymać. Problem dotyczy tylko aplikacji, które włączają nodeIntegrationInWorker.

Electron na Windows nie waliduje nazwy protokołu w app.setAsDefaultProtocolClient() przed zapisem do rejestru. Aplikacje przekazujące niezaufane dane jako nazwę protokołu mogą pozwolić atakującemu na zapis do dowolnych podkluczy rejestru, potencjalnie przejmując istniejące procedury obsługi protokołów.

Electron, framework do tworzenia aplikacji desktopowych, zawiera lukę use-after-free w przypadku, gdy aplikacja umożliwia pobieranie plików i programowo niszczy sesje. Jeśli sesja zostanie zniszczona podczas otwartego natywnego okna dialogowego zapisu pliku, zamknięcie okna dialogowego powoduje dereferencję zwolnionej pamięci, co może prowadzić do awarii lub uszkodzenia pamięci. Luka występuje przed wersjami 38.8.6, 39.8.0, 40.7.0 i 41.0.0-beta.8.

Electron, framework do tworzenia aplikacji desktopowych, zawiera lukę HTTP response header injection. Aplikacje rejestrujące niestandardowe protokoły za pomocą protocol.handle() lub modyfikujące nagłówki odpowiedzi przez webRequest.onHeadersReceived mogą być podatne, jeśli dane kontrolowane przez atakującego są odzwierciedlane w nazwie lub wartości nagłówka odpowiedzi. Luka występuje przed wersjami 38.8.6, 39.8.3, 40.8.3 i 41.0.3.

W implementacji Nimiq Proof-of-Stake w Rust (core-rs-albatross) dwa handlery żądań konsensusu zakładają, że indeks historii jest zawsze dostępny, co może prowadzić do paniki (unwrap) podczas synchronizacji węzła. Zdalny atakujący może wywołać awarię węzła.

Podatność w PraisonAI przed wersją 4.5.90, gdzie funkcja MCPToolIndex.search_tools() kompiluje dostarczony przez użytkownika ciąg znaków bezpośrednio jako wyrażenie regularne Pythona bez walidacji, sanityzacji lub limitu czasu. Specjalnie spreparowane wyrażenie regularne powoduje katastrofalne cofanie się w silniku re, blokując wątek Pythona na setki sekund i powodując całkowitą przerwę w działaniu usługi.

Avahi, system do wykrywania usług w sieci lokalnej za pomocą mDNS/DNS-SD, przed wersją 0.9-rc4 jest podatny na atak DoS. Każdy nieuprzywilejowany użytkownik lokalny może wysłać pojedyncze wywołanie metody D-Bus z konfliktowymi flagami publikacji, powodując awarię avahi-daemon.

W Emlog w wersji 2.6.2 i wcześniejszych wykryto podatność na SQL injection w funkcji updateTagName() w pliku include/model/tag_model.php. Funkcja bezpośrednio interpoluje dane wejściowe użytkownika do zapytania SQL bez użycia sparametryzowanych zapytań, co umożliwia atak SQL injection.

W systemie Emlog w wersji 2.6.2 i starszych występuje podatność na lokalne dołączanie plików (LFI) w pliku admin/plugin.php. Parametr $plugin z żądania GET jest bezpośrednio używany w ścieżce require_once bez odpowiedniego oczyszczania. Jeśli możliwe jest ominięcie sprawdzania tokena CSRF, atakujący może dołączyć dowolne pliki PHP z systemu plików serwera, prowadząc do wykonania kodu.

Emlog przed wersją 2.6.8 zawiera podatność na trwałe XSS w module komentarzy poprzez obejście walidacji schematu URI. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się przy przeglądaniu strony z komentarzem.

Emlog przed wersją 2.6.8 zawiera podatność w interfejsie aktualizacji backendu, który akceptuje zdalne adresy URL SQL i ZIP przez parametry GET. Serwer pobiera i wykonuje plik SQL, a następnie pobiera plik ZIP i rozpakowuje go bezpośrednio do katalogu głównego serwera. Proces nie waliduje tokena CSRF, więc atakujący może nakłonić uwierzytelnionego administratora do odwiedzenia złośliwego linku, co prowadzi do dowolnego wykonania SQL i zapisu plików.

nimiq/core-rs-albatross przed wersją 1.3.0 zawiera podatność, w której wybrany walidator-proposer może wysłać blok makro wyborczy, którego header.interlink nie zgadza się z kanonicznym następnym interlinkiem. Uczciwi walidatorzy akceptują tę propozycję, ponieważ funkcja verify_macro_block_proposal() nie sprawdza wiązania interlink dla bloków wyborczych. Ten sam sfinalizowany blok jest później odrzucany przez verify_block() z błędem InvalidInterlink, ale dzieje się to po podjęciu decyzji przez Tendermint, co może prowadzić do problemów z konsensusem.

W LTI JupyterHub Authenticator przed wersją 1.6.3 walidator LTI 1.1 przechowuje nonce OAuth w słowniku na poziomie klasy, który rośnie bez ograniczeń. Nonce są dodawane przed weryfikacją podpisu, więc atakujący znający prawidłowy klucz konsumenta może wysyłać powtarzane żądania z unikalnymi nonce, stopniowo wyczerpując pamięć serwera i powodując odmowę usługi.

Produkty Hirschmann HiLCOS (OpenBAT, BAT450, WLC, BAT867) zawierają podatność filtrowania zapory sieciowej, która nieprawidłowo filtruje ruch multicast i broadcast IPv4, gdy filtrowanie adresów IP zarządzania jest wyłączone. Umożliwia to ominięcie skonfigurowanych reguł zapory.

OpenPrinting CUPS w wersjach do 2.4.16 ma podatność na przepełnienie bufora sterty w schedulerze CUPS podczas budowania ciągów opcji filtru z atrybutów zadania. W chwili publikacji nie ma publicznie dostępnych poprawek.

W systemie OpenPrinting CUPS w wersjach 2.4.16 i wcześniejszych, notyfikator RSS umożliwia przejście ścieżki (path traversal) w parametrze notify-recipient-uri, co pozwala zdalnemu klientowi IPP na zapis plików XML RSS poza katalogiem CacheDir/rss, w dowolnym miejscu zapisywalnym przez użytkownika lp. Wykorzystując domyślne uprawnienia grupy (root:lp, tryb 0770), notyfikator działający jako lp może nadpisać pliki stanu zarządzane przez roota, co po restarcie cupsd powoduje błędy parsowania pamięci podręcznej zadań i utratę wcześniej zakolejkowanych zadań.

Discourse, otwartoźródłowa platforma dyskusyjna, zawiera lukę, która ujawnia niestandardowe pola użytkownika i nazwę użytkownika na publicznych stronach zaproszeń bez weryfikacji e-mail. Luka występuje w wersjach od 2026.1.0-latest do przed 2026.1.3, od 2026.2.0-latest do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0.

JupyterHub przed wersją 5.4.4 zawiera podatność na otwarte przekierowanie, która pozwala atakującym konstruować linki, które po kliknięciu kierują użytkownika do strony logowania JupyterHub, a następnie do dowolnej strony kontrolowanej przez atakującego, omijając mechanizm zabezpieczający JupyterHub.

Discourse w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0 do przed 2026.3.0 zawiera podatność na obejście autoryzacji. Nieuwierzytelnieni lub nieautoryzowani użytkownicy mogą wyświetlić tagi przeznaczone tylko dla personelu oraz powiązane dane.

W narzędziu util-linux przed wersją 2.41.4 wykryto podatność TOCTOU w binarnym pliku SUID /usr/bin/mount. Podczas konfigurowania urządzeń pętlowych mount waliduje ścieżkę pliku źródłowego z uprawnieniami użytkownika, ale później ponownie kanonizuje i otwiera ją z uprawnieniami roota bez weryfikacji, czy ścieżka nie została podmieniona. Lokalny nieuprzywilejowany użytkownik może zastąpić plik źródłowy dowiązaniem symbolicznym do pliku lub urządzenia należącego do roota.