Katalog podatności CVE

W EasyAdmin od 5.0.0 do 5.0.13 pola FileField i ImageField mogą przyjmować pliki wykonywalne w przeglądarce, a szablon templates/crud/field/file.html.twig linkuje do przechowywanych plików bez atrybutu download lub nagłówka Content-Disposition attachment. Gdy pliki są przechowywane w publicznym katalogu głównym, atakujący może przesłać HTML przez FileField lub SVG przez ImageField, a JavaScript wykona się w kontekście uwierzytelnionego administratora.

W docx4j przed 11.5.14 klasy PropertyResolver i powiązane pomocniki rekurencyjnie podążają za łańcuchem dziedziczenia stylów WordprocessingML w:basedOn bez wykrywania cykli. Poprawnie sformowany plik DOCX z wzajemnie opartymi stylami powoduje nieograniczoną rekurencję w PropertyResolver.fillPPrStack i powiązanych ścieżkach, prowadząc do StackOverflowError.

W http4k przed 4.51.0.0, 5.42.0.0 i 6.49.0.0 filtry ServerFilters.GZip, RequestFilters.GunZip oraz podstawowe funkcje dekompresji treści żądania Gzip nie nakładają limitu na rozmiar po dekompresji. Nieuwierzytelniony klient może wysłać małe ciało żądania zakodowane w gzip, które rozszerza się do gigabajtów, wyczerpując stertę JVM.

W dd-trace-rb przed 2.32.0 ekstrakcja bagażu W3C nie egzekwuje limitów DD_TRACE_BAGGAGE_MAX_ITEMS (domyślnie 64) ani DD_TRACE_BAGGAGE_MAX_BYTES (domyślnie 8192), choć limity te obowiązują podczas wstrzykiwania bagażu. Zdalny nieuwierzytelniony atakujący może wysłać nagłówek baggage HTTP zawierający wiele par klucz-wartość lub jedną bardzo dużą wartość, powodując nieograniczone zużycie CPU i pamięci.

W dd-trace-java przed 1.62.0 ekstrakcja bagażu W3C nie egzekwuje limitów DD_TRACE_BAGGAGE_MAX_ITEMS (domyślnie 64) ani DD_TRACE_BAGGAGE_MAX_BYTES (domyślnie 8192), choć limity te obowiązują podczas wstrzykiwania bagażu. Zdalny nieuwierzytelniony atakujący może wysłać nagłówek baggage HTTP zawierający wiele par klucz-wartość lub jedną bardzo dużą wartość, powodując nieograniczone zużycie CPU i pamięci.

W bibliotece Conform od wersji 1.8.0 do 1.19.4 przyszłe API parseSubmission w packages/conform-dom/formdata.ts wielokrotnie skanuje wpisy FormData lub URLSearchParams dla każdej unikalnej nazwy pola. Nieuwierzytelniony atakujący może przesłać spreparowany formularz zawierający wiele unikalnych nazw, powodując nadmierne synchroniczne obciążenie CPU i odmowę usługi.

W XWiki Platform przed wersjami 17.10.5 i 18.2.0 akcja /skin/ w klasie SkinAction pozwala na rozwiązanie podwójnie zakodowanych segmentów katalogu nadrzędnego poza zamierzonym prefiksem zasobów, gdy Jetty 12 lub nowszy dekoduje ścieżkę żądania. Nieuwierzytelniony zdalny atakujący może odczytać dowolne zasoby dostępne dla procesu Jetty, w tym WEB-INF/xwiki.cfg, a w zależności od konfiguracji także pliki systemowe. Podatność naprawiono w wersjach 17.10.5 i 18.2.0.

W GNU C Library w wersjach od 2.38 do 2.44 wywołanie strfmon lub strfmon_l może zapisać dane poza końcem bufora wyjściowego dostarczonego przez wywołującego, gdy konwersja używa wyrównania do prawej z dopełnianiem szerokości. Wykorzystanie wymaga ścieżki kodu aplikacji wywołującej te funkcje z takim dopełnianiem do bufora wystarczająco dużego dla dopełnienia, ale zbyt małego dla wewnętrznego wywołania memmove. W momencie publikacji nie są znane żadne skutki dla aplikacji dostępnych sieciowo.

gRPC-Go przed wersjami 1.82.2 i 1.83.2 pozwala serwerom utworzonym przez xds.NewGRPCServer() na przyjęcie RPC bez nagłówka :authority ani Host. Funkcja RouteAndProcess zakłada istnienie wartości authority i indeksuje pusty slice, co powoduje panic poza zakresem i zakończenie całego procesu serwera.

Cisco Secure Email Gateway oraz Cisco Secure Email and Web Manager zawierają luki wykryte podczas wewnętrznego przeglądu bezpieczeństwa, związane z niewłaściwą walidacją określonej ilości w danych wejściowych (CWE-1284).

Laravel MagicLink w wersjach od 2.0.0 do 2.25.1 przechowuje serializowane obiekty akcji w kolumnie magic_links.action i deserializuje je bez wystarczającej ochrony integralności, z niebezpiecznym fallbackiem unserialize(). Atakujący mogący modyfikować rekordy bazy danych może wstawić złośliwy graf obiektów i po odwiedzeniu linku wykonać dowolny kod.

Argos JavaScript SDK przed wersją 6.2.1 pakietu core pozwala atakującemu kontrolować wartości CI branch lub ref, które są interpolowane do poleceń wykonywanych przez /bin/sh -c. Metaznaki powłoki w nazwie gałęzi pull requesta mogą wykonać dowolne polecenia z uprawnieniami procesu przesyłania Argos.

Alchemy CMS przed wersjami 7.4.15, 8.0.15, 8.1.14 i 8.2.6 udostępnia nieuwierzytelnionemu użytkownikowi endpoint GET /api/pages/nested, który zwraca nieprzefiltrowane drzewo stron bez autoryzacji. Można uzyskać metadane stron zastrzeżonych i nieopublikowanych oraz treści elementów i ingredientów z tych stron.

gettext-converter przed wersją 1.3.3 w funkcji js2i18next() używa dynamicznych kluczy obiektów bez odrzucania __proto__, constructor i prototype. Podczas konwersji niezaufanych danych tłumaczeń może dojść do zanieczyszczenia prototypu (prototype pollution) w całym procesie.

Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem reports_config na wstrzyknięcie fragmentów SQL do pól sql, from, where i groupby w konfiguracji raportów. Wykonanie raportu może ujawnić, zmodyfikować lub usunąć dowolne dane w bazie.

Pimcore przed wersją 2026.1.5 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem objects na przesłanie złośliwego UID definicji klasy, który jest używany w zapytaniach SQL bez odpowiedniego cytowania. Może to prowadzić do odczytu lub modyfikacji dowolnych tabel bazy danych, w tym ujawnienia hashy haseł.

node-opcua przed wersją 2.166.0 przechowuje nonce w globalnym cache bez wygaśnięcia i limitu rozmiaru. Nieuwierzytelniony atakujący może wielokrotnie tworzyć sesje z unikalnymi nonce, powodując nieograniczony wzrost pamięci i awarię serwera.

node-opcua przed wersją 2.166.0 w obsłudze UserNameIdentityToken nie weryfikuje, czy końcowe bajty zaszyfrowanego hasła odpowiadają bieżącemu serverNonce. Umożliwia to atakującemu sfałszowanie tokena z pustym hasłem lub powtórzenie przechwyconego tokena w innej sesji.

GIMP podczas przetwarzania specjalnie spreparowanego pliku presetu oświetlenia nie waliduje poprawnie liczby źródeł światła w filtrze Lighting Effects. Może to prowadzić do zapisu poza zakresem pamięci, co może spowodować awarię lub umożliwić wykonanie dowolnego kodu.

parallax filament-comments do wersji 3.0.0 zawiera podatność na przechowywany XSS w renderowaniu treści komentarzy, umożliwiającą uwierzytelnionym użytkownikom panelu wstrzykiwanie złośliwych skryptów. Skrypty wykonują się w przeglądarkach innych użytkowników, w tym administratorów.