Katalog podatności CVE

W pyLoad, menedżerze pobierania, występuje luka w funkcji ClickNLoad, która pozwala na obejście dekoratora local_check. Atakujący zdalny może wykorzystać fałszowanie nagłówka HTTP Host, co umożliwia dostęp do punktów końcowych ograniczonych do localhost.

MinIO to system przechowywania obiektów o wysokiej wydajności. W wersjach od RELEASE.2022-11-08T05-27-07Z do przed RELEASE.2026-03-17T21-25-16Z występuje podatność związana z myleniem algorytmu JWT w uwierzytelnianiu OpenID Connect, która pozwala atakującemu, znającemu OIDC ClientSecret, na fałszowanie dowolnych tokenów tożsamości i uzyskanie poświadczeń S3 z dowolną polityką, w tym consoleAdmin.

Parse Server, otwarte oprogramowanie backendowe, ma lukę umożliwiającą obejście uwierzytelniania przed wersjami 8.6.52 i 9.6.0-alpha.41. Atakujący może zalogować się jako dowolny użytkownik, który powiązał swoje konto z zewnętrznym dostawcą uwierzytelniania, znając jedynie identyfikator dostawcy.

Podatność na brak uwierzytelniania dla krytycznej funkcji w Pharos Controls Mosaic Show Controller w wersji firmware 2.15.3 pozwala nieuwierzytelnionemu atakującemu na obejście uwierzytelniania i wykonanie dowolnych poleceń z uprawnieniami roota.

Wallos to otwartoźródłowy, samodzielny tracker subskrypcji osobistych. W wersjach przed 4.7.0, endpointy/logos/search.php akceptują zmienne środowiskowe HTTP_PROXY i HTTPS_PROXY bez walidacji, co umożliwia atak SSRF poprzez przejęcie proxy.

W interfejsie webowym LoLLMs zidentyfikowano krytyczną podatność typu Server-Side Request Forgery (SSRF). Umożliwia ona nieautoryzowanym atakującym wymuszanie na serwerze wykonywania dowolnych żądań GET, co może prowadzić do dostępu do wewnętrznych usług oraz wycieku wrażliwych danych.

Vikunja to platforma do zarządzania zadaniami, która w wersjach od 0.21.0 do 2.2.0 umożliwia `nodeIntegration` w procesie renderowania bez `contextIsolation` lub `sandbox`. To stwarza ryzyko, że każda podatność XSS w interfejsie webowym Vikunji może prowadzić do zdalnego wykonania kodu na maszynie ofiary.

W przeglądarce Firefox 148 i kliencie poczty Thunderbird 148 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich powodowały uszkodzenie pamięci, co mogło potencjalnie umożliwić wykonanie dowolnego kodu. Luki zostały załatane w wersjach Firefox 149 i Thunderbird 149.

Podatność CVE-2026-4725 dotyczy ucieczki z piaskownicy spowodowanej błędem use-after-free w komponencie Graphics: Canvas2D. Została naprawiona w wersjach Firefox 149 i Thunderbird 149.

W komponentach Audio/Video występuje nieokreślone zachowanie, które może prowadzić do problemów z bezpieczeństwem. Podatność ta została naprawiona w wersjach Firefox 149 i Thunderbird 149.

Podatność typu use-after-free w komponencie silnika JavaScript. Została naprawiona w wersjach Firefox 149 i Thunderbird 149.

W przeglądarkach Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird ESR 140.8, Firefox 148 i Thunderbird 148 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich mogły prowadzić do uszkodzenia pamięci, co potencjalnie umożliwiało zdalne wykonanie kodu.

W przeglądarce Firefox ESR 140.8, Thunderbird ESR 140.8, Firefox 148 i Thunderbird 148 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich mogły prowadzić do uszkodzenia pamięci, co przy odpowiednim nakładzie pracy mogło umożliwić zdalne wykonanie dowolnego kodu.

Podatność CVE-2026-4717 dotyczy eskalacji uprawnień w komponencie Netmonitor. Została naprawiona w wersjach Firefox 149, Firefox ESR 140.9, Thunderbird 149 oraz Thunderbird 140.9.

Podatność CVE-2026-4716 dotyczy nieprawidłowych warunków granicznych oraz niezainicjowanej pamięci w komponencie silnika JavaScript. Została naprawiona w wersjach Firefox 149, Firefox ESR 140.9, Thunderbird 149 oraz Thunderbird 140.9.

Podatność CVE-2026-4715 dotyczy niezinicjalizowanej pamięci w komponencie Graphics: Canvas2D. Została naprawiona w wersjach Firefox 149, Firefox ESR 140.9, Thunderbird 149 oraz Thunderbird 140.9.

Podatność typu use-after-free w komponencie Widget: Cocoa. Została naprawiona w wersjach Firefox 149, Firefox ESR 140.9, Thunderbird 149 oraz Thunderbird 140.9.

W komponentach Audio/Video występują nieprawidłowe warunki graniczne, co prowadzi do podatności. Problem został naprawiony w wersjach Firefox 149, Firefox ESR 140.9, Thunderbird 149 oraz Thunderbird 140.9.

W WebRTC występuje nieokreślone zachowanie w komponencie sygnalizacji. Ta podatność została naprawiona w Firefox 149, Firefox ESR 140.9, Thunderbird 149 oraz Thunderbird 140.9.

W podatności CVE-2026-4702 występuje błąd w kompilacji Just-In-Time (JIT) w komponencie silnika JavaScript. Problem ten został naprawiony w wersjach Firefox 149, Firefox ESR 140.9, Thunderbird 149 oraz Thunderbird 140.9.