Katalog podatności CVE

W JetBrains Rider przed wersją 2026.2.1 asystent AI mógł automatycznie aktualizować umiejętności stron trzecich bez potwierdzenia użytkownika. Może to prowadzić do nieautoryzowanych zmian w środowisku.

W JetBrains YouTrack przed wersją 2026.2.18991 możliwa była trwała injekcja HTML poprzez nagłówek User-Agent. Złośliwa treść mogła być przechowywana i wyświetlana innym użytkownikom.

W JetBrains YouTrack przed wersją 2026.2.18991 możliwa była zmiana ustawień widoczności artykułów bez posiadania uprawnień do aktualizacji.

W JetBrains YouTrack przed wersją 2026.2.18991 integracja skrzynki pocztowej umożliwiała uwierzytelnienie po zresetowaniu hasła.

W JetBrains YouTrack przed wersją 2026.2.18991 nieprawidłowa kontrola dostępu na wykresie Gantta pozwalała na edycję użytkownikom z dostępem tylko do odczytu.

W JetBrains YouTrack przed wersją 2026.2.18991 brak autoryzacji pozwalał użytkownikom z dostępem tylko do odczytu na odczyt ustawień projektu.

W JetBrains YouTrack przed wersją 2026.2.18991 możliwy był atak SSRF poprzez wstrzyknięcie przechowywanego XHTML podczas eksportu do PDF.

Podatność polegająca na obejściu autoryzacji przez klucz kontrolowany przez użytkownika w wtyczce Pay with Vipps for WooCommerce, umożliwiająca wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji od n/a do 6.2.4.

Satori to biblioteka do konwersji HTML i CSS na SVG. Od wersji 0.0.27 do 0.33.5 niepoprawnie escapuje niektóre wartości przed umieszczeniem ich w generowanym wyjściu SVG, co może pozwolić na interpretację spreparowanych wartości jako znaczników SVG. Wersja 0.33.5 zawiera poprawkę.

Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce User Submitted Posts, umożliwiająca atak Stored XSS. Dotyczy wersji od n/a do 20260810.

OpenSave przed wersją 2.4.0-beta.1 nie weryfikuje tożsamości nadawcy w żądaniach przekaźnika WAN, co pozwala nieparowanym członkom pokoju na podszywanie się pod sparowane urządzenia poprzez fałszowanie pola From w RelayMessage. Atakujący, którzy znają kod pokoju, mogą dołączyć, odczytać identyfikatory sparowanych urządzeń z ogłoszeń i wysyłać sfałszowane żądania do chronionych tras synchronizacji, w tym danych zapisu, migawek i operacji na plikach.

bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uprawnień w logice autoryzacji AdminMiddleware, gdzie reguła uprawnień dashboard.user.view (tylko do odczytu) pasuje do endpointu /api/admin/user/synccount przed zamierzoną regułą dashboard.user.update. Uwierzytelnieni użytkownicy z uprawnieniami tylko do odczytu mogą wywołać endpoint synccount, aby wywołać kosztowne przeliczenia całej tabeli użytkowników i unieważnienia pamięci podręcznej, powodując denial of service poprzez powtarzające się równoczesne operacje na bazie danych.

MISP zawiera podatność na trwały skrypt XSS w obsłudze ikon galaktyk. Pole ikony obiektu galaktyki jest zapisywane bez walidacji po stronie serwera, a następnie bezpośrednio wstawiane do kodu HTML przez skrypty renderujące graf korelacji. Użytkownik z uprawnieniami perm_galaxy_editor może zapisać dowolny kod HTML lub JavaScript, który wykona się w przeglądarce innego użytkownika otwierającego graf korelacji.

MISP renderuje pole źródła klastra galaktyki jako klikalny link, jeśli wartość przechodzi walidację FILTER_VALIDATE_URL, która akceptuje schemat javascript:. Użytkownik z uprawnieniami edytora galaktyk może zapisać adres javascript: jako źródło klastra, a po kliknięciu przez inną osobę skrypt wykona się w jej przeglądarce.

LightLLM do wersji 1.2.0 nie waliduje parametrów image_url i audio_url w punktach końcowych multimodalnych, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SSRF. Mogą oni podać dowolne adresy URL do pobierania zasobów wewnętrznych, a przetwarzanie przez model wizyjny może ujawnić zawartość lub błędy odpowiedzi.

GPAC do wersji 26.07.0 ma podatność na przepełnienie bufora w funkcji gf_dash_resolve_url w pliku src/media_tools/dash_client.c w komponencie DASH Client. Atak może być przeprowadzony zdalnie. Zalecane jest zaktualizowanie do wersji abi-16.26 lub zastosowanie poprawki.

W Artifex Ghostscript do wersji 10.07.0 wykryto podatność w funkcji type1_callsubr w pliku devices/vector/gdevpsfx.c komponentu Pdfwrite. Manipulacja danymi prowadzi do przepełnienia bufora na stosie, a zdalne wykorzystanie podatności jest możliwe. Exploit jest publicznie dostępny i może być użyty.

Blosc C-Blosc2 do wersji 3.3.2 ma podatność na przepełnienie liczby całkowitej w funkcji blosclz_decompress w pliku blosc/blosclz.c w komponencie blosclz Decompression. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Zalecane jest zaktualizowanie do wersji 3.3.3.

Astro od wersji 5.2.0 do 8.2.4 ma podatność w adapterze @astrojs/netlify, która generuje wyrażenia regularne dla list dozwolonych obrazów Netlify Image CDN bez zakotwiczenia ich do początku URL. Pozwala to atakującemu kontrolować host URL, podczas gdy dozwolony origin pojawia się tylko w ścieżce lub zapytaniu. Nieuwierzytelnione żądanie do publicznego punktu /.netlify/images może spowodować, że Image CDN pobierze adresy URL wybrane przez atakującego, potencjalnie docierając do usług wewnętrznych. Problem naprawiono w wersji 8.2.4.

Brak kontroli autoryzacji w komponencie Vaadin Spreadsheet pozwala uwierzytelnionemu użytkownikowi aplikacji wyświetlającej arkusz kalkulacyjny dodawać lub zastępować komentarze w komórkach na chronionym arkuszu, w tym w komórkach zablokowanych. Zapis komentarza do nieistniejącej komórki powoduje również utworzenie wiersza i komórki.