Katalog podatności CVE

IBM Maximo AI Service 9.1.0 i 9.2.0 może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi z powodu niekontrolowanego zużycia zasobów.

Nginx UI przed wersją 2.4.1 używa stałej wartości OAuth state w GetCasdoorUri i nie weryfikuje stanu w CasdoorCallback, co pozwala nieuwierzytelnionemu atakującemu na przejęcie sesji użytkownika.

FileRise przed wersją 3.14.0 uwierzytelnia żądania do obsługi tworzenia plików i linków udostępniania, ale nie wymusza sprawdzania tokenu CSRF używanego przez sąsiednie operacje zmieniające stan. Endpointy POST /api/file/createFile.php oraz /api/file/createShareLink.php nie odrzucają brakującego lub nieprawidłowego nagłówka X-CSRF-Token. Żądanie z sesją zalogowanego użytkownika może utworzyć pusty plik lub link udostępniania z uprawnieniami tego użytkownika, choć domyślne ciasteczko SameSite=Lax ogranicza zwykłe cross-site POST.

odhcpd w OpenWrt do commita cfddd56 włącznie pozwala nieuwierzytelnionemu hostowi w tej samej sieci uzyskać dwa przypisania przez normalne wymiany DHCPv6 SOLICIT i REQUEST, a następnie wysłać spreparowany RENEW z wieloma opcjami IA_NA. Wcześniej dopasowane IA zużywa większość bufora odpowiedzi, niedopasowane IA powoduje zapis i zwrócenie odpowiedzi NOBINDING większej niż pozostałe miejsce, a kolejne dopasowane IA jest przetwarzane po odjęciu nadmiaru od unsigned size_t. Wynikające niedomknięcie wyłącza kolejne sprawdzenia długości i pozwala na serializację IA_ADDR kontrolowaną przez atakującego poza 512-bajtowy bufor stosu pdbuf w handle_client_request(). Kanarek stosu kończy odhcpd, a ciągłe pakiety mogą wielokrotnie zakłócać usługę DHCPv6, podczas gdy procd wskrzesza proces. W obserwowanej konfiguracji nie stwierdzono wykonania kodu.

Code for IBM i to rozszerzenie Visual Studio Code do utrzymania i kompilacji języków ILE na platformie IBM i. Przed wersją 3.0.1 plik src/ui/views/objectBrowser.ts przechowuje pobrane pliki Object Browser i zawartość przepływu edycji-zapisu w współdzielonym katalogu /tmp bez niezawodnego czyszczenia. W systemach, gdzie /tmp jest dostępny dla innych lokalnych kont, zawartość plików pozostaje czytelna po operacjach pobierania lub edycji. Problem naprawiono w wersji 3.0.1.

Code for IBMi przed wersją 3.0.1 akceptuje komponenty IBMi bez weryfikacji integralności, co pozwala lokalnemu kontu na modyfikację programów i wykonanie ich pod kontem łączącego się użytkownika.

Qexo w wersjach od 4.0.0 do 4.2.0 udostępnia endpoint /api/init_step/ bez uwierzytelnienia, autoryzacji ani zabezpieczenia przed ponownym uruchomieniem konfiguracji. Nieuwierzytelniony atakujący z ważnym tokenem CSRF może zresetować ustawienie INIT i ponownie wejść w proces konfiguracji, co może ujawnić przechowywane dane uwierzytelniające PROVIDER.

Moonlight Qt to klient GameStream dla Windows, macOS, Linux i Steam Link. W wersji 6.1.0 i wcześniejszych, po zainicjowaniu sesji strumieniowania do złośliwego hosta, host może wysłać spreparowany H.264 SPS NAL, gdy Moonlight wybierze ścieżkę dekodera, która nie ogłasza CAPABILITY_REFERENCE_FRAME_INVALIDATION_AVC. Ścieżka naprawy SPS w app/streaming/video/ffmpeg.cpp parsuje dane dostarczone przez serwer za pomocą h264bitstream, gdzie kontrolowany przez atakującego seq_parameter_set_id jest używany do indeksowania 32-elementowej tablicy sps_table bez walidacji. Wartość 32 lub większa powoduje zapis poza granicami i zdalne uszkodzenie sterty w kliencie Moonlight. Wykazany wpływ to niezawodna awaria klienta, choć wykonanie kodu nie zostało ustalone. Problem naprawiono w wersji 6.2.0.

W urządzeniu Edimax BR-6208AC w wersji 1.32 odkryto podatność w nieznanej funkcji pliku /goform/formUrlb (strona blokowania HTTP). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanej funkcji pliku /goform/formFilter. Manipulacja prowadzi do podatności na cross site scripting. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

W Netcore NR268 1.7.121109 wykryto podatność w funkcji eval pliku filter_hosts_dump.cgi komponentu DHCP Hostname Handler. Manipulacja argumentem Hostname powoduje cross site scripting. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

QGIS to wolny, otwartoźródłowy, wieloplatformowy system informacji geograficznej. Przed wersją 3.44.12 oraz w wersjach od 4.0.0 do 4.2.3, QGIS Server renderuje dane cech w odpowiedziach HTML WFS3 (OGC API Features) bez escapowania HTML. Wartości feature.properties kontrolowane przez atakującego z opublikowanej warstwy wektorowej z prawem zapisu trafiają do resources/server/api/ogc/templates/wfs3/getFeatures.html przez QgsServerOgcApiHandler::htmlDump i callback if_nullptr_null_str. Użytkownik otwierający stronę HTML elementów może wykonać zapisany markup lub skrypt w origin QGIS Server, co może ujawnić dane sesji przeglądającego lub wykonać uwierzytelnione żądania z uprawnieniami przeglądającego. Problem naprawiono w wersji 3.44.12.

GNU Aspell 0.60.8.2 (pierwsza podatna wersja nie jest znana) zawiera przepełnienie bufora sterty (CWE-122) w loaderze słownika tylko do odczytu. String::reserve() w common/string.hpp oblicza sprawdzenie pojemności za pomocą signed int ((int)s + 1), więc żądany rozmiar 0x7FFFFFFF zawija się na wartość ujemną i bufor nie jest powiększany. ReadOnlyDict::load() w modules/speller/default/readonly_ws.cpp przekazuje niezwalidowane 32-bitowe pola rozmiaru z nagłówka słownika .rws do tej ścieżki, więc spreparowany plik .rws z prawidłowym znacznikiem endian (12345678) i nadmiernym polem długości (np. lang_name_size = 0x7FFFFFFF) powoduje zapis danych kontrolowanych przez atakującego poza granicami zbyt małej alokacji sterty. Atakujący, który nakłoni ofiarę do załadowania złośliwego słownika — na przykład przez aspell dump master <file> — może uszkodzić pamięć sterty, powodując odmowę usługi i potencjalnie wykonanie kodu. Naprawiono w b830b6e i będzie naprawione w wersji 0.60.8.3.

Nango to open-source platforma do łączenia agentów i produktów z API stron trzecich. Przed wersją 0.70.9, na kontach z włączonym RBAC przez plan z has_rbac=true, dwie prywatne trasy odczytu przepływu, GET /api/v1/integrations/:providerConfigKey/flows i GET /api/v1/flow/:flowName, stosują webAuth, ale pomijają can({ action: 'read', resource: 'flow', scopedBy: envScope }). Użytkownik tej samej drużyny z rolą development_full_access może zatem zażądać env=prod i odczytać metadane przepływu integracji produkcyjnej lub konfigurację nazwanego przepływu, mimo że jest odrzucany przez chronione trasy produkcyjne. Oba kontrolery używają res.locals.environment z uwierzytelnionego konta, więc problem omija granicę ról produkcyjnych, ale nie przekracza granic dzierżawcy. Problem naprawiono w wersji 0.70.9 i managed-1.5.11-0.70.8-aae30d044d7e229807d51a3957c212f3fb689e1a.

Super Productivity to zaawansowana aplikacja listy zadań z wbudowanym timeboxingiem i śledzeniem czasu. Od wersji 17.3.0 do 18.13.1, konfiguracja szyfrowania end-to-end SuperSync wywołuje sync(true) przed ustawieniem hasła szyfrowania przez użytkownika, powodując, że ścieżka przesyłania operacji transmituje i przechowuje wszystkie operacje użytkownika w postaci jawnej. Ujawnione operacje mogą zawierać prywatną treść zadań i poświadczenia połączonych dostawców problemów, w tym hasła wielokrotnego użytku, tokeny API i hasła aplikacji. Użytkownicy, którzy ukończą konfigurację E2EE, mają usunięte operacje jawne, podczas gdy użytkownicy, którzy opuszczą krok ustawiania hasła, mogą pozostawić dane przechowywane bezterminowo. Akcja Disable SuperSync nie usuwała jawnych danych, które zostały już przesłane. Routing i metadane przyczynowe pozostają jawne z założenia i nie są częścią tej podatności. Problem naprawiono w wersji 18.13.1.

Convex to open-source reaktywna baza danych dla programistów aplikacji. Przed obrazem self-hosted opublikowanym 10 sierpnia 2026 i lokalnym binarium precompiled-2026-08-10-c0cb7ae, złośliwy użytkownik może w rzadkich przypadkach dokonać nieautoryzowanego odczytu informacji o wdrożeniu z wdrożenia Convex. Opiekun celowo wstrzymał dotknięty komponent i mechanizm techniczny, aby chronić nieaktualizowane wdrożenia self-hosted, i nie są znane żadne dowody wykorzystania. Wdrożenia Convex cloud zostały załatane automatycznie. Problem naprawiono w obrazie self-hosted opublikowanym 10 sierpnia 2026 i lokalnym binarium precompiled-2026-08-10-c0cb7ae.

IBM Power Systems Firmware FW1060.00 do FW1060.81 ma podatność w parsowaniu konfiguracji firmware hosta, umożliwiającą atakującemu z dostępem serwisowym do FSP spowodowanie uszkodzenia pamięci podczas IPL, co narusza integralność bootowania i hiperwizora.

IBM Power Systems Firmware FW1060.00 do FW1060.81 ma podatność w interfejsie mailbox procesora serwisowego, umożliwiającą atakującemu z dostępem serwisowym do FSP odczyt i modyfikację pamięci Hostboot, co narusza integralność bootowania i hiperwizora.

IBM Power Systems Firmware FW1060.00 do FW1060.81 ma podatność w interfejsie mailbox procesora serwisowego, umożliwiającą atakującemu z dostępem serwisowym do FSP przepełnienie pamięci atrybutów runtime firmware hosta, co pozwala na wykonanie dowolnego kodu w runtime firmware.

IBM Power Systems Firmware FW1120.00 do FW1120.01, FW1110.00 do FW1110.31 i FW1060.00 do FW1060.81 ma podatność w ścieżce walidacji obrazu podczas procesu bootowania, umożliwiającą atakującemu z dostępem serwisowym do procesora serwisowego dostarczenie złośliwego obrazu aktualizacji kodu, co pozwala na wykonanie dowolnego kodu na hoście.