Katalog podatności CVE

Podatność na nieprawidłowe ograniczenie operacji w obrębie bufora pamięci (Improper Restriction of Operations within the Bounds of a Memory Buffer) w gdal (moduły frmts/zlib/contrib/infback9) związana z plikiem inftree9.C. Problem dotyczy wersji przed 3.11.0.

Podatność na nieprawidłowe ograniczenie operacji w obrębie bufora pamięci w modizer (moduły libs/libopenmpt/openmpt-trunk/include/premake/contrib/curl/lib) związana z plikiem imap.C. Problem dotyczy wersji przed v4.3.

Wtyczka Woocommerce Custom Product Addons Pro dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 5.4.1 włącznie. Problem wynika z niewystarczającej sanitizacji i walidacji wartości pól przesyłanych przez użytkowników przed ich przekazaniem do funkcji eval() w PHP.

Graphiti to framework, który udostępnia modele za pomocą interfejsu zgodnego z JSON:API. W wersjach przed 1.10.2 występuje podatność na wykonanie dowolnej metody, która wpływa na funkcjonalność zapisu JSONAPI, umożliwiając atakującemu wywołanie publicznych metod na instancjach modeli.

Podatność w projekcie Tekton Pipelines umożliwia atak typu path traversal przez parametr `pathInRepo` w resolverze git. Osoba z uprawnieniami do tworzenia `ResolutionRequests` może odczytać dowolne pliki z systemu plików resolwera, w tym tokeny kont serwisowych.

Podatność w Active Storage umożliwia atak typu path traversal przez nieprawidłową walidację ścieżki w `DiskService#path_for`. Jeśli klucz blob zawiera sekwencje `../`, atakujący może odczytywać, zapisywać lub usuwać dowolne pliki na serwerze.

Krytyczna podatność na zdalne wykonanie kodu (RCE) w PTC Windchill i PTC FlexPLM, wykorzystywana poprzez deserializację niezaufanych danych. Dotyczy wymienionych wersji Windchill PDMLink i FlexPLM.

OpenClaw przed wersją 2026.3.7 zawiera podatność na niewłaściwą walidację nagłówków w funkcji fetchWithSsrFGuard, która przekazuje niestandardowe nagłówki autoryzacji przez przekierowania między różnymi źródłami. Atakujący mogą wywołać przekierowania do innych źródeł, aby przechwycić wrażliwe nagłówki, takie jak X-Api-Key i Private-Token, przeznaczone dla oryginalnego celu.

Census CSWeb w wersji 8.0.1 umożliwia dostęp do katalogu 'app/config' przez HTTP w niektórych wdrożeniach. Zdalny, nieautoryzowany atakujący może wysyłać żądania do plików konfiguracyjnych i uzyskać wyciekłe sekrety.

Mantis Bug Tracker (MantisBT) w wersjach przed 2.28.1, działających na bazach danych rodziny MySQL, ma podatność na obejście uwierzytelniania w API SOAP z powodu niewłaściwego sprawdzania typu parametru hasła. Atakujący, znając nazwę użytkownika ofiary, może zalogować się do API SOAP bez znajomości hasła i wykonać dowolną funkcję API, do której ma dostęp.

Podatność CVE-2026-2298 dotyczy niewłaściwej neutralizacji ograniczników argumentów w poleceniach, co prowadzi do możliwości manipulacji protokołem usług internetowych w Salesforce Marketing Cloud Engagement. Problem ten dotyczy wersji przed 30 stycznia 2026 roku.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersjach do 26.0, punkt końcowy kontroli transmisji na żywo `plugin/Live/standAloneFiles/control.json.php` akceptuje parametr `streamerURL`, który pozwala na przekierowanie żądań weryfikacji tokenów do serwera kontrolowanego przez atakującego, co umożliwia całkowite ominięcie uwierzytelnienia.

Podatność umożliwiająca zapis dowolnego pliku w rozszerzeniu Pega Browser Extension (PBE) dotyczy deweloperów Pega Robot Studio automatyzujących Google Chrome i Microsoft Edge w wersjach 22.1 lub R25. Nie dotyczy użytkowników Robot Runtime. Atakujący może stworzyć stronę internetową z złośliwym kodem, a podatność może zostać wykorzystana, jeśli deweloper zostanie oszukany i odwiedzi tę stronę w trybie przesłuchania w Robot Studio.

AVideo to otwartoźródłowa platforma wideo. W wersjach do 26.0 włącznie występuje podatność typu server-side request forgery w pliku `plugin/Live/test.php`, która pozwala nieautoryzowanym użytkownikom zdalnym na wysyłanie żądań HTTP do dowolnych adresów URL.

W wersji 2.15.0 i wcześniejszych GoHarbor Harbor występuje problem z użyciem twardo zakodowanych poświadczeń, co pozwala atakującym na wykorzystanie domyślnego hasła i uzyskanie dostępu do interfejsu webowego.

AVideo to otwartoźródłowa platforma wideo, w której wersjach do 26.0 występuje wiele podatności w wtyczce CloneSite, umożliwiających nieautoryzowanemu atakującemu zdalne wykonanie kodu. Punkt końcowy `clones.json.php` ujawnia klucze tajne klonów bez autoryzacji, co pozwala na zrzut całej bazy danych zawierającej hashe haseł administratorów w formacie MD5.

WWBN AVideo to otwarta platforma wideo. Przed wersją 26.0 występuje podatność na nieautoryzowaną injekcję SQL w pliku `objects/category.php` w metodzie `getAllCategories()`, gdzie parametr `doNotShowCats` jest niewłaściwie sanitizowany.

AVideo to otwartoźródłowa platforma wideo, która przed wersją 26.0 zawierała podatność typu Server-Side Request Forgery (SSRF) w pliku `saveDVR.json.php`. W trybie samodzielnym wtyczki AVideo Live, parametr `$_REQUEST['webSiteRootURL']` był używany bezpośrednio do konstruowania URL, co umożliwiało atakującym wykonanie nieautoryzowanych żądań.

AVideo to otwartoźródłowa platforma wideo. W wersjach przed 26.0, punkt końcowy `setPassword.json.php` w wtyczce CustomizeUser pozwalał administratorom ustawiać hasło kanału dla dowolnego użytkownika, jednak z powodu błędu logicznego, hasła zawierające znaki nienumeryczne były cicho przekształcane do zera przed zapisaniem.