Katalog podatności CVE

W Progress® Kendo® UI for jQuery od wersji 2012.2.710 do wersji przed 2026.3.1015 komponent Validator dekoduje komunikaty walidacyjne z atrybutów data-msg-* i parsuje wynikowy tekst jako HTML. Atakujący mogący zmodyfikować komunikat walidacyjny może spowodować, że poprawnie escapowany HTML w atrybucie strony stanie się aktywnym znacznikiem, w tym obsługą zdarzeń, gdy użytkownik wywoła walidację. Udana eksploatacja może wykonać JavaScript w przeglądarce użytkownika.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponenty Splitter i Window (od wersji 2011.2.804) oraz Tooltip (od wersji 2013.1.319) konstruują znaczniki iframe bez odpowiedniej sanityzacji wartości URL i kodowania tytułu iframe w Window. Atakujący o niskich uprawnieniach kontrolujący te wartości może wstrzyknąć atrybuty HTML, w tym obsługę zdarzeń JavaScript, poprzez apostrof w adresie URL iframe lub spreparowany tytuł. Gdy użytkownik wchodzi w interakcję z komponentem, wstrzyknięty JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponent Menu konstruuje atrybuty HTML z pól dataSource poprzez konkatenację ciągów bez odpowiedniej neutralizacji. Atakujący o niskich uprawnieniach kontrolujący te pola może wstrzyknąć atrybuty obsługi zdarzeń JavaScript, które wykonają się, gdy użytkownik wchodzi w interakcję z komponentem Menu, zagrażając poufności i integralności danych dostępnych w kontekście przeglądarki użytkownika.

Wtyczka AUTOM8N (WHM/cPanel) do commita 82821f7 zawiera podatność OS Command Injection w pliku borg_restore.cgi.

P4 Search (dawniej Helix Search) zwraca zapisane poświadczenia w postaci jawnej przez swoje API konfiguracji użytkownikom z uprawnieniami administracyjnymi na podłączonym serwerze P4. Umożliwia to eskalację uprawnień. Podatność dotyczy wersji 2026.4.2 i wcześniejszych, została naprawiona w 2026.4.3.

P4 Search (dawniej Helix Search) pozwala uwierzytelnionemu użytkownikowi z uprawnieniami administracyjnymi na podłączonym serwerze P4 dostarczyć spreparowaną konfigurację logowania, która powoduje zapis lub usunięcie plików poza zamierzonym katalogiem logów. Może to prowadzić do wykonania kodu jako konto usługi P4 Search. Podatność dotyczy P4 Search 2026.4.2 i wcześniejszych; Perforce naprawił ją w 2026.4.3.

W serwisie Eclipse Adoptium (adoptium.net) strona po pobraniu /[locale]/download pobiera adres URL z parametru zapytania "link" i automatycznie na niego przechodzi za pomocą meta http-equiv="refresh". Adres jest weryfikowany względem listy zaufanych prefiksów przy użyciu String.startsWith() na surowym ciągu, podczas gdy przeglądarka stosuje normalizację segmentów kropkowych zgodnie z RFC 3986 przed nawigacją, więc wartość taka jak https://github.com/adoptium/temurin/../../attacker/malware/releases/download/v1/jdk.exe przechodzi weryfikację, ale prowadzi do repozytorium kontrolowanego przez atakującego. Ofiara, która kliknie spreparowany link adoptium.net, zobaczy prawdziwą stronę "Thank you for downloading Eclipse Temurin", podczas gdy jej przeglądarka pobierze plik binarny wybrany przez atakującego.

W OpenSSH wykryto błąd polegający na tym, że po wynegocjowaniu kompresji skompresowany ładunek może rozrosnąć się powyżej maksymalnego obsługiwanego rozmiaru pakietu, ponieważ pętla dekompresji nie zatrzymuje się na tym limicie. W efekcie zużycie pamięci rośnie w procesie obsługującym dane połączenie.

W OpenSSH przy włączonej autoryzacji GSSAPI nieudana próba GSSAPI może pozostawić delegowane poświadczenia zapisane dla połączenia, mimo że autoryzacja użytkownika się nie powiodła. Późniejsze udane logowanie na tym połączeniu nie jest autoryzowane przez pozostawiony stan.

W Progress® Kendo® UI for jQuery w wersjach od v2023.1.117 do wersji przed v2026.3.1015 komponenty FileBrowser i ImageBrowser renderują zdalnie dostarczone nazwy plików i katalogów jako HTML bez właściwego kodowania. Nazwa kontrolowana przez atakującego zawierająca HTML powiązany ze skryptami może wykonać JavaScript w przeglądarce użytkownika.

W Progress® Kendo® UI for jQuery w wersjach od 2023.3.1010 do wersji przed 2026.3.1015 komponent FileManager renderuje zdalnie dostarczone nazwy elementów jako HTML w domyślnej podpowiedzi przeciągania, mimo że odpowiadające im elementy listy są kodowane. Atakujący kontrolujący nazwę elementu może wstrzyknąć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas przeciągania dotkniętego elementu.

W Progress® Kendo® UI for jQuery w wersjach od v2020.1.114 do wersji przed 2026.3.1015 metoda Badge text renderuje wartości tekstowe jako surowy HTML bez kodowania, w tym wartości dostarczone przez powiązanie text. Atakujący mogący zmodyfikować dane powiązane z Badge może dostarczyć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas renderowania wartości.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 metoda Model.accept przekazuje klucze odpowiedzi serwera do kendo.setter bez zabezpieczenia przed niebezpiecznymi ścieżkami obiektów zawierającymi __proto__, constructor lub prototype. Atakujący mogący dostarczyć dane akceptowane przez dotknięty model może modyfikować atrybuty prototypu obiektu i wpływać na zachowanie aplikacji.

W Progress® Kendo® UI for jQuery w wersjach od 2022.3.1109 do wersji przed 2026.3.1015 adresy URL przycisków ButtonGroup w ToolBar są łączone w niecytowany atrybut href po sanityzacji URL. Atakujący kontrolujący URL przycisku może dostarczyć dozwolony adres HTTPS zawierający białe znaki i dodatkowe atrybuty, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z przyciskiem.

W Progress® Kendo® UI for jQuery w wersji v2026.3.811 i wcześniejszych widoki Scheduler Day, Timeline, Month i Agenda wstawiają wartości kolorów zasobów do cytowanych atrybutów otoczki zdarzenia bez właściwego kodowania. Atakujący kontrolujący kolor zasobu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z dotkniętym zdarzeniem.

W Progress® Kendo® UI for jQuery w wersjach od 2019.2.514 do wersji przed 2026.3.1015 komponent PanelBar wstawia wartości URL elementów źródła danych do atrybutu href w pojedynczych cudzysłowach bez właściwego kodowania. Atakujący kontrolujący URL elementu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z dotkniętym elementem.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponenty TabStrip, Menu i PanelBar wstawiają wartości imageUrl ze źródła danych do atrybutów src obrazu w pojedynczych cudzysłowach bez właściwego escapowania. Atakujący mogący zmodyfikować URL obrazu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas renderowania obrazu przez dotknięty komponent.

W Progress® Kendo® UI for jQuery od wydania R1 2020 do wersji przed 2026.3.1015 domyślny szablon elementu ListBox renderuje wartość dataTextField jako surowy HTML bez kodowania. Atakujący mogący modyfikować powiązane dane może dostarczyć HTML z obsługą zdarzeń wykonującą JavaScript w przeglądarce użytkownika. Podatność naprawiono w wersji 2026.3.1015.

Podatność typu niekompletna lista niedozwolonych danych wejściowych (CWE-184) w PeaZip 10.5.0–11.2.0 na Windows dotyczy potwierdzenia uruchomienia niebezpiecznych rozszerzeń w przeglądarce archiwów. Lista SECEXTCONST zawiera tylko siedem rozszerzeń (exe, cmd, msi, bat, ps1, vbs, reg), a sprawdzenie polega na dokładnym porównaniu ciągu znaków, przez co pomija inne typy plików wykonywanych przez ShellExecuteW, m.in. .url i .lnk. W efekcie otwarcie spreparowanego wpisu w archiwum może uruchomić program lub dowolne polecenie bez okna potwierdzenia.

W jądrze Linux rozwiązano podatność w stosie IPv4: jeśli pakiet z błędnymi metadanymi sumy kontrolnej trafi do stosu, funkcja skb_checksum_help może uszkodzić nagłówek sieciowy. Wprowadzono dodatkową walidację checksum_start przed ukończeniem sumy kontrolnej.