Katalog podatności CVE

Biblioteka urllib3, używana do obsługi HTTP w Pythonie, ma problem z nieprawidłowym przetwarzaniem silnie skompresowanych danych w API strumieniowym. Problem ten występuje od wersji 1.0 do 2.6.0.

W jądrze Linuxa zidentyfikowano podatność związaną z warunkiem wyścigu, która prowadzi do sytuacji use-after-free. Problem dotyczy braku liczenia referencji dla inodów rawdata, co umożliwia atakującemu otwieranie plików rawdata w niebezpieczny sposób.

W pliku hb-ot-layout-gsubgpos.hh w HarfBuzz w wersji do 6.0.0, atakujący mogą wywołać wzrost złożoności O(n^2) poprzez kolejne znaki diakrytyczne podczas procesu poszukiwania podstawowych glifów przy dołączaniu znaków.

W wersjach Python Charmers Future 0.18.2 i wcześniejszych odkryto problem, który pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez spreparowany nagłówek Set-Cookie z złośliwego serwera internetowego.

W pakiecie python-cryptography znaleziono lukę, która może umożliwić zdalnemu atakującemu odszyfrowanie przechwyconych wiadomości na serwerach TLS korzystających z wymiany kluczy RSA. Może to prowadzić do ujawnienia poufnych lub wrażliwych danych.

W GlusterFS w wersji 11.0 występuje podatność typu use-after-free w funkcji dht_setxattr_mds_cbk w pliku dht-common.c. Może to prowadzić do nieprzewidzianego zachowania aplikacji lub awarii systemu.

W jq, narzędziu do przetwarzania JSON w wierszu poleceń, występuje podatność na przepełnienie całkowitej liczby całkowitej. Problem ten dotyczy funkcji jvp_string_append() oraz jvp_string_copy_replace_bad, gdzie konkatenacja ciągów o łącznej długości przekraczającej 2^31 bajtów prowadzi do przepełnienia 32-bitowej liczby całkowitej.

Effect to framework TypeScript składający się z kilku pakietów, które współpracują w celu budowy aplikacji TypeScript. Przed wersją 3.20.0, używając `RpcServer.toWebHandler` (lub `HttpApp.toWebHandlerRuntime`) w handlerze trasy Next.js App Router, występowały problemy z `AsyncLocalStorage` w Node.js.

@isaacs/brace-expansion to hybrydowy fork TypeScript brace-expansion, który przed wersją 5.0.1 jest podatny na atak typu denial of service (DoS) spowodowany nieograniczonym rozszerzaniem zakresów klamrowych. Atakujący może dostarczyć wzór zawierający powtarzające się numeryczne zakresy klamrowe.

W wersjach przed 1.19.10 biblioteki @hono/node-server, podczas korzystania z serwowania statycznych plików oraz ochrony opartych na trasach, występuje niespójne dekodowanie URL, co może umożliwić dostęp do chronionych zasobów statycznych.

Git to szybki, skalowalny, rozproszony system kontroli wersji, który oferuje bogaty zestaw poleceń. Podczas odczytu wartości konfiguracyjnej, Git usuwa wszelkie końcowe znaki powrotu karetki i nowej linii (CRLF).

Biblioteka expr-eval to parser i evaluator wyrażeń JavaScript, zaprojektowany do bezpiecznego oceniania wyrażeń matematycznych z użyciem zmiennych zdefiniowanych przez użytkownika. Z powodu niewystarczającej walidacji wejścia, atakujący może przekazać spreparowany obiekt kontekstu lub użyć MEMBER obiektu kontekstu w funkcji evaluate().

W jądrze Linuxa zidentyfikowano podatność, która pozwala nieuprzywilejowanemu lokalnemu użytkownikowi na zarządzanie politykami AppArmor. Użytkownik może załadować, zastąpić lub usunąć profile, wykorzystując atak 'confused deputy', co prowadzi do pełnego zarządzania polityką.

Hono to framework aplikacji webowych, który wspiera dowolne środowisko uruchomieniowe JavaScript. Przed wersją 4.12.4, używając serveStatic razem z ochronami middleware opartymi na trasach, niespójne dekodowanie URL pozwalało na dostęp do chronionych zasobów statycznych bez odpowiednich uprawnień.

W wersjach przed 1.15.1 i 0.31.1 w kliencie HTTP Axios występuje podatność na zanieczyszczenie prototypu, która umożliwia atakującemu wstrzykiwanie dowolnych nagłówków HTTP do wychodzących żądań. Problem ten znajduje się w adapterze HTTP (lib/adapters/http.js).

W jądrze systemu Linux zidentyfikowano podatność w module AppArmor, która dotyczy walidacji stanów początkowych DFA w funkcji unpack_pdb. Stany początkowe są odczytywane z niezaufanych danych i mogą prowadzić do odczytu poza granicami tablic stanów DFA, co skutkuje błędem.

Wykryto i naprawiono kilka podatności (dwie o krytycznym poziomie CVSSv3) w zależności libheif. Mogą one prowadzić do zdalnego wykonania kodu (RCE) na systemach Linux bazujących na glibc pod pewnymi warunkami.

LangChain to framework do budowania aplikacji opartych na LLM. Przed wersjami @langchain/core 0.3.80 i 1.1.8 oraz langchain 0.3.37 i 1.2.3, w metodzie toJSON() LangChain JS występuje podatność na wstrzykiwanie podczas serializacji obiektów.

Złośliwy serwer MySQL (lub atak typu man-in-the-middle) może wymusić na mysql2 wysłanie poświadczeń w postaci jawnego tekstu, żądając przełączenia uwierzytelniania na mysql_clear_password. Sterownik spełnia żądanie bez weryfikacji, czy połączenie korzysta z TLS.

Podatność dotyczy niektórych pakietów React Server Components w wersjach 19.x oraz frameworków, które używają tych pakietów, w tym Next.js w wersjach 13.x, 14.x, 15.x i 16.x korzystających z App Router. Problem jest śledzony w systemie jako CVE-2026-23870.