Katalog podatności CVE

W bibliotece LiquidJS przed wersją 10.27.1 filtr 'pop' alokuje pełną kopię tablicy wejściowej bez uwzględniania limitu pamięci (memoryLimit). Pozwala to na wykonanie szablonu, który alokuje poza budżetem pamięci, np. przez {{ huge_array | pop }}.

W yt-dlp i youtube-dl przed wersją 2026.7.4 opcje --write-link, --write-url-link i --write-desktop-link zapisują pliki .url lub .desktop, używając danych metadata (webpage_url lub filename) bez odpowiedniej walidacji. Umożliwia to wstrzyknięcie złośliwego URI file:// w systemie Windows lub wstrzyknięcie klucza wpisu pulpitu opartego na znaku nowej linii w systemie Linux, co może prowadzić do wykonania poleceń po otwarciu wygenerowanego skrótu.

HashiCorp Nomad i Nomad Enterprise są podatne na ucieczkę z sandboksa w sterowniku zadań Docker, która umożliwia osobie przesyłającej zadanie zamontowanie ścieżki hosta do kontenera nawet gdy montowania woluminów są wyłączone, co może prowadzić do odczytu i zapisu plików na hoście.

Podatność w Nomad i Nomad Enterprise polega na braku egzekwowania ograniczenia allow_privileged dla opcji trybu przestrzeni nazw hosta sterownika zadania Docker. Umożliwia to uwierzytelnionemu użytkownikowi uruchomienie kontenera w przestrzeni nazw hosta i dostęp do informacji należących do hosta lub innych obciążeń na tym samym kliencie.

W bibliotece pypdf przed wersją 6.14.0 wykryto podatność polegającą na możliwości stworzenia przez atakującego pliku PDF z wieloma uszkodzonymi strumieniami odnośników krzyżowych. Powoduje to długotrwałe odtwarzanie uszkodzonych wpisów tabeli odnośników, co prowadzi do nadmiernego obciążenia procesora i wydłużenia czasu przetwarzania.

W sterowniku Horde_Vfs_Smb biblioteki Horde Virtual File System (VFS) przed wersją 3.0.1 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Metoda _escapeShellCommand() nie oczyszcza sekwencji podstawiania poleceń, co pozwala uwierzytelnionym atakującym na wstrzykiwanie dowolnych poleceń powłoki poprzez kontrolowane przez użytkownika nazwy plików.

Podatność w bibliotece Mistune do parsowania Markdown w Pythonie przed wersją 3.3.0 pozwala na atak DoS przez wyczerpanie CPU. Dokument Markdown zawierający wiele powtarzających się lub różnych definicji linków referencyjnych powoduje kwadratową złożoność obliczeniową w pliku src/mistune/block_parser.py oraz obsłudze słownika ref_links.

Mistune to parser Markdown dla Pythona. Przed wersją 3.3.0, długie sekwencje poprawnie sformatowanych par podwójnych lub potrójnych gwiazdek wokół znaku powodują kwadratową złożoność obliczeniową w src/mistune/inline_parser.py, ponieważ parser skanuje do przodu w poszukiwaniu pasujących znaczników zamykających z każdego potencjalnego otwarcia, umożliwiając odmowę usługi przy domyślnym parsowaniu Mistune.

Podatność w bibliotece Mistune (parser Markdown dla Pythona) przed wersją 3.3.0 powoduje kwadratową złożoność obliczeniową podczas przetwarzania sekwencji zamkniętych tyld, znaków równości lub daszków w pluginach przekreślenia, zaznaczenia i wstawiania. Atakujący może wykorzystać to do wyczerpania zasobów CPU (odmowa usługi).

Podatność w bibliotece @opentelemetry/propagator-jaeger dla JavaScript przed wersją 2.9.0. Niezabezpieczone dekodowanie nagłówków HTTP uber-trace-id i uberctx-* za pomocą decodeURIComponent() pozwala nieuwierzytelnionemu atakującemu na zdalne wysłanie złośliwej wartości percent-encoded, co powoduje nieobsłużony błąd URIError i zatrzymanie procesu Node.js używającego JaegerPropagator jako aktywnego propagatora.

Biblioteka linkify-it przed wersją 5.0.2 zawiera podatność na atak typu ReDoS (Regular Expression Denial of Service). Walidator schematu mailto: wywoływany przez metody .test() i .match() może być aktywowany przy każdym wystąpieniu mailto: i skanować pozostałe dane wejściowe przez src_email_name w lib/re.mjs, powodując kwadratową złożoność obliczeniową O(n^2) na spreparowanym tekście użytkownika.

W bibliotece Immutable.js w wersjach przed 4.3.9 i 5.1.8 wykryto podatność w funkcjach List#set, List#setSize, List#setIn, List#updateIn oraz w funkcjonalnych set, setIn i updateIn. Błędna obsługa indeksu lub rozmiaru w zakresie od 2^30 do 2^31 w metodzie setListBounds w pliku src/List.js może prowadzić do nieskończonej pętli, niekontrolowanego przydziału pamięci lub cichego zawijania dużych wartości.

Astro w wersji 6.4.7 zawiera podatność polegającą na podejmowaniu decyzji autoryzacyjnych na częściowo zdekodowanej ścieżce URL po osiągnięciu limitu iteracyjnego dekodera. Późniejsze dopasowanie reguł przepisywania wykonuje dodatkową operację decodeURI(), co może umożliwić ominięcie zabezpieczeń i dostęp do chronionych tras.

Podatność w OpenClaw przed wersją 2026.5.28 umożliwia nadpisywanie poświadczeń dostawcy przez pliki dotenv w przestrzeni roboczej. Atakujący z niższym poziomem zaufania do skonfigurowanych ścieżek wejściowych mogą ujawnić wrażliwe dane i poświadczenia, które powinny pozostać w zaufanych granicach.

W systemach Unix otwieranie pliku w os.Root nieprawidłowo podąża za dowiązaniami symbolicznymi do lokalizacji poza Root, gdy ostatni komponent ścieżki jest dowiązaniem symbolicznym, a ścieżka kończy się na /. Na przykład 'root.Open("symlink/")' otworzy "symlink", nawet jeśli wskazuje on poza korzeń.

U-Boot przed wersją 2026.07-rc2 zawiera podatność na przepełnienie bufora w funkcji nfs_readlink_reply() (net/nfs-common.c) przy włączonym CONFIG_CMD_NFS, co pozwala złośliwemu lub skompromitowanemu serwerowi NFS na przepełnienie 2048-bajtowego bufora nfs_path_buff poprzez zwrócenie wielu względnych celów dowiązań symbolicznych bez walidacji skumulowanej długości.

Podatność w U-Boot do wersji 2026.04-rc3 w funkcji tcp_rx_state_machine() w net/tcp.c. Wysyłanie spreparowanego pakietu TCP SYN+ACK z manipulowanym polem data offset powoduje niedomiar liczby całkowitej, co prowadzi do awarii bootloadera i potencjalnego uszkodzenia pamięci.

OpenVPN Access Server w wersjach od 2.7.2 do 3.1.0 akceptuje gołe sekwencje znaków nowej linii w wartościach nagłówków HTTP, co umożliwia zdalnym atakującym przemycanie żądań HTTP (HTTP request smuggling) gdy serwer jest wdrożony za odwrotnym proxy.

W bibliotece Immutable.js przed wersjami 4.3.9 i 5.1.8 struktury danych Immutable.Map i Immutable.Set przechowują klucze o tym samym 32-bitowym skrócie w liniowo skanowanym zasobniku kolizji HashCollisionNode. Osoba atakująca kontrolująca klucze wstawiane do Mapy (np. przez Immutable.Map(obj), Immutable.fromJS(obj), state.merge(userObject) lub mergeDeep) może stworzyć wiele kolizyjnych kluczy, powodując degradację wydajności operacji wstawiania i wyszukiwania do nieproporcjonalnie wysokiego zużycia CPU.

Biblioteka node-tar przed wersją 7.5.18 zawiera podatność polegającą na akceptowaniu nagłówka tar z ujemną wartością rozmiaru wpisu zakodowaną w base-256. Powoduje to, że skaner archiwum nie robi postępów, wielokrotnie przetwarzając ten sam nagłówek.