Katalog podatności CVE

Podatność klasycznego przepełnienia bufora (out-of-bounds write) w projekcie furnace (moduły zlib) związana z plikami inflate.C.

Podatność nieprawidłowego ograniczenia operacji w obrębie bufora pamięci w DagorEngine (moduły miniupnpc) związana z plikami upnpreplyparse.C. Wersje do dagor_2025_01_15 są dotknięte.

Podatność nieprawidłowego ograniczenia operacji w obrębie bufora pamięci w projekcie cardboard (moduły WorldImpl) związana z plikami WorldImpl.Java. Wersje przed 1.21.4 są dotknięte.

Podatność CVE-2026-24793 dotyczy błędu zapisu poza granicami w module zlib w azerothcore-wotlk, co prowadzi do klasycznego przepełnienia bufora. Problem ten występuje w plikach programu inflate.C i dotyczy wersji azerothcore-wotlk do v4.0.0.

HUSTOF to otwartoźródłowy system oceny online oparty na PHP/C++/MySQL/Linux, używany w treningach ACM/ICPC i NOIP. W wersjach przed 26.01.24 moduły problem_import_qduoj.php i problem_import_hoj.php nieprawidłowo sanitizują nazwy plików w przesyłanych archiwach ZIP, co umożliwia atakującym wykonanie złośliwego kodu.

W wersjach od 1.4.0 do 3.27.7 biblioteki AssertJ występuje podatność typu XML External Entity (XXE) w metodzie `toXmlDocument(String)` klasy `XmlStringPrettyFormatter`. Problem polega na tym, że `DocumentBuilderFactory` jest inicjowany z domyślnymi ustawieniami, co nie wyłącza DTD ani zewnętrznych encji.

vm2 to otwarte źródło vm/sandbox dla Node.js. W wersjach przed 3.10.2, sanizacja callbacków `Promise.prototype.then` i `Promise.prototype.catch` może zostać ominięta, co pozwala atakującym na ucieczkę z sandboxa i uruchomienie dowolnego kodu.

Podatność w dcap-qvl przed wersją 0.3.9 polega na pominięciu weryfikacji podpisu QE Identity oraz braku egzekwowania ograniczeń polityki na QE Report. Atakujący może sfałszować dane QE Identity, aby dodać do białej listy złośliwą lub nie-Intel Quoting Enclave, co pozwala na podpisywanie niezaufanych cytatów akceptowanych przez weryfikatora.

Firmware Shenzhen Tenda W30E V2 do wersji V16.01.0.19(5037) nie egzekwuje ograniczeń tempa ani blokady konta na punktach końcowych uwierzytelniania, co pozwala atakującym na nieograniczone ataki brute-force na poświadczenia administracyjne.

Firmware Shenzhen Tenda W30E V2 do wersji V16.01.0.19(5037) zawiera predefiniowane domyślne hasło dla wbudowanego konta uwierzytelniającego, które nie musi być zmieniane podczas początkowej konfiguracji. Atakujący może wykorzystać te domyślne poświadczenia do uzyskania uwierzytelnionego dostępu do interfejsu zarządzania.

Wersja 4.5.0 SpringBlade zawiera nieprawidłowe zabezpieczenia dostępu w funkcji importUser, co pozwala atakującym z niskimi uprawnieniami na dowolne importowanie wrażliwych danych użytkowników.

Podatność wstrzykiwania poleceń w Apache Continuum (wszystkie wersje). Atakujący z dostępem do API REST instalacji może wywoływać dowolne polecenia na serwerze. Projekt jest wycofany, więc nie planuje się wydania poprawki.

Domyślnie hasło do interfejsu webowego Access Managera jest ustawione na 'admin'. W testowanej wersji zmiana hasła nie była wymuszana.

Access Manager 92xx w rewizji sprzętowej K7 działa na systemie Linux zamiast Windows CE. W tej wersji wykryto usługę SSH na porcie 22 z dwoma użytkownikami mającymi zakodowane na stałe i słabe hasła, które można łatwo odgadnąć. Hasła są losowane tylko wtedy, gdy data urządzenia jest ustawiona przed 2022 rokiem, więc w niektórych sytuacjach (np. brak ustawionego zegara) hasła pozostają niezmienione.

Aplikacja exos 9300 umożliwia konfigurację Access Managerów przez interfejs graficzny. Po kliknięciu przycisku zapisu cała konfiguracja jest wysyłana do wybranego Access Managera przez SOAP bez żadnego uwierzytelnienia ani autoryzacji domyślnie. Opcjonalne zabezpieczenia (IPsec, mTLS) nie są domyślnie włączone.

Wykryto wiele zakodowanych na stałe poświadczeń, które umożliwiają logowanie do serwera datapoint exos 9300 na portach 1004 i 1005. Serwer ten przesyła informacje o stanie Access Managerów, a także umożliwia sterowanie nimi, w tym otwieranie drzwi.

Na serwerze exos 9300 dostępne jest API SOAP na porcie 8002, które nie wymaga uwierzytelnienia. Dzięki temu osoba z dostępem do sieci może tworzyć dowolne zdarzenia dziennika dostępu oraz odpytywać kody PIN 2FA powiązane z kartami chipowymi.

Wtyczka Kalrav AI Agent dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w akcji AJAX kalrav_upload_file we wszystkich wersjach do i włącznie z 2.3.3. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Strona internetowa zawierająca nietypowy kod shaderów GPU, załadowana z Internetu do procesu kompilatora GPU, powoduje awarię typu use-after-free w bibliotece kompilatora shaderów GPU. Na niektórych platformach, gdy proces kompilatora ma uprawnienia systemowe, może to umożliwić dalsze exploity na urządzeniu.

ChatterMate to framework agenta czatu AI bez kodu. W wersjach 1.0.8 i poniżej, chatbot akceptuje i wykonuje złośliwe ładunki HTML/JavaScript dostarczane jako wejście czatu, co pozwala na dostęp do wrażliwych danych po stronie klienta.