Katalog podatności CVE

Podatność w PasswordPusher przed wersją 2.8.1 pozwala na akceptowanie schematów data URI w ładunkach URL push z powodu niewystarczającej walidacji w funkcji valid_url. Atakujący mogą tworzyć złośliwe pushy zawierające data:text/html URI, które po kliknięciu wykonują dowolny JavaScript w przeglądarkach ofiar, umożliwiając phishing i kradzież poświadczeń w zaufanej domenie PasswordPusher.

W serwerze NATS wykryto podatność polegającą na tym, że gdy skonfigurowano opcję no_auth_user, szybka ścieżka parsera przeznaczona dla zwykłych połączeń klienckich mogła zostać zastosowana również do nasłuchiwania tras lub liści, umożliwiając nieuwierzytelnionemu peerowi ominięcie uwierzytelniania CONNECT między serwerami i działanie z uprawnieniami przypisanymi do tego typu połączenia.

W serwerze NATS przed wersjami 2.12.8 i 2.11.17, nieuwierzytelniony klient z dostępem sieciowym do nasłuchiwacza leafnode z włączoną kompresją może spowodować awarię serwera poprzez wysyłanie powtarzających się komunikatów protokołu INFO przed zakończeniem uwierzytelniania i konfiguracji konta.

Podatność w serwerze NATS pozwala klientowi MQTT na wstrzykiwanie znaków kontrolnych protokołu do filtrów subskrypcji, które są następnie przekazywane jako dane protokołu NATS do połączeń routingu lub liścia, co może prowadzić do uszkodzenia strumienia protokołu i umożliwić nieautoryzowane operacje NATS.

Nieuwierzytelniony klient MQTT może spowodować, że serwer NATS będzie przechowywał duże niekompletne pakiety MQTT CONNECT przed zakończeniem uwierzytelniania, co prowadzi do wyczerpania pamięci serwera podczas oczekiwania na zadeklarowaną długość pakietu. Podatność dotyczy wersji przed 2.14.3 i 2.12.12.

Podatność w bibliotece Handlebars.java umożliwia odczyt dowolnych plików poprzez path traversal. Aplikacje przekazujące dane użytkownika do metody Handlebars.compile() z użyciem FileTemplateLoader lub ClassPathTemplateLoader są narażone na atak.

W bibliotece LiquidJS przed wersją 10.27.1 filtr 'pop' alokuje pełną kopię tablicy wejściowej bez uwzględniania limitu pamięci (memoryLimit). Pozwala to na wykonanie szablonu, który alokuje poza budżetem pamięci, np. przez {{ huge_array | pop }}.

W yt-dlp i youtube-dl przed wersją 2026.7.4 opcje --write-link, --write-url-link i --write-desktop-link zapisują pliki .url lub .desktop, używając danych metadata (webpage_url lub filename) bez odpowiedniej walidacji. Umożliwia to wstrzyknięcie złośliwego URI file:// w systemie Windows lub wstrzyknięcie klucza wpisu pulpitu opartego na znaku nowej linii w systemie Linux, co może prowadzić do wykonania poleceń po otwarciu wygenerowanego skrótu.

HashiCorp Nomad i Nomad Enterprise są podatne na ucieczkę z sandboksa w sterowniku zadań Docker, która umożliwia osobie przesyłającej zadanie zamontowanie ścieżki hosta do kontenera nawet gdy montowania woluminów są wyłączone, co może prowadzić do odczytu i zapisu plików na hoście.

Podatność w Nomad i Nomad Enterprise polega na braku egzekwowania ograniczenia allow_privileged dla opcji trybu przestrzeni nazw hosta sterownika zadania Docker. Umożliwia to uwierzytelnionemu użytkownikowi uruchomienie kontenera w przestrzeni nazw hosta i dostęp do informacji należących do hosta lub innych obciążeń na tym samym kliencie.

W bibliotece pypdf przed wersją 6.14.0 wykryto podatność polegającą na możliwości stworzenia przez atakującego pliku PDF z wieloma uszkodzonymi strumieniami odnośników krzyżowych. Powoduje to długotrwałe odtwarzanie uszkodzonych wpisów tabeli odnośników, co prowadzi do nadmiernego obciążenia procesora i wydłużenia czasu przetwarzania.

W sterowniku Horde_Vfs_Smb biblioteki Horde Virtual File System (VFS) przed wersją 3.0.1 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Metoda _escapeShellCommand() nie oczyszcza sekwencji podstawiania poleceń, co pozwala uwierzytelnionym atakującym na wstrzykiwanie dowolnych poleceń powłoki poprzez kontrolowane przez użytkownika nazwy plików.

Podatność w bibliotece Mistune do parsowania Markdown w Pythonie przed wersją 3.3.0 pozwala na atak DoS przez wyczerpanie CPU. Dokument Markdown zawierający wiele powtarzających się lub różnych definicji linków referencyjnych powoduje kwadratową złożoność obliczeniową w pliku src/mistune/block_parser.py oraz obsłudze słownika ref_links.

Mistune to parser Markdown dla Pythona. Przed wersją 3.3.0, długie sekwencje poprawnie sformatowanych par podwójnych lub potrójnych gwiazdek wokół znaku powodują kwadratową złożoność obliczeniową w src/mistune/inline_parser.py, ponieważ parser skanuje do przodu w poszukiwaniu pasujących znaczników zamykających z każdego potencjalnego otwarcia, umożliwiając odmowę usługi przy domyślnym parsowaniu Mistune.

Podatność w bibliotece Mistune (parser Markdown dla Pythona) przed wersją 3.3.0 powoduje kwadratową złożoność obliczeniową podczas przetwarzania sekwencji zamkniętych tyld, znaków równości lub daszków w pluginach przekreślenia, zaznaczenia i wstawiania. Atakujący może wykorzystać to do wyczerpania zasobów CPU (odmowa usługi).

Podatność w bibliotece @opentelemetry/propagator-jaeger dla JavaScript przed wersją 2.9.0. Niezabezpieczone dekodowanie nagłówków HTTP uber-trace-id i uberctx-* za pomocą decodeURIComponent() pozwala nieuwierzytelnionemu atakującemu na zdalne wysłanie złośliwej wartości percent-encoded, co powoduje nieobsłużony błąd URIError i zatrzymanie procesu Node.js używającego JaegerPropagator jako aktywnego propagatora.

Biblioteka linkify-it przed wersją 5.0.2 zawiera podatność na atak typu ReDoS (Regular Expression Denial of Service). Walidator schematu mailto: wywoływany przez metody .test() i .match() może być aktywowany przy każdym wystąpieniu mailto: i skanować pozostałe dane wejściowe przez src_email_name w lib/re.mjs, powodując kwadratową złożoność obliczeniową O(n^2) na spreparowanym tekście użytkownika.

W bibliotece Immutable.js w wersjach przed 4.3.9 i 5.1.8 wykryto podatność w funkcjach List#set, List#setSize, List#setIn, List#updateIn oraz w funkcjonalnych set, setIn i updateIn. Błędna obsługa indeksu lub rozmiaru w zakresie od 2^30 do 2^31 w metodzie setListBounds w pliku src/List.js może prowadzić do nieskończonej pętli, niekontrolowanego przydziału pamięci lub cichego zawijania dużych wartości.

Astro w wersji 6.4.7 zawiera podatność polegającą na podejmowaniu decyzji autoryzacyjnych na częściowo zdekodowanej ścieżce URL po osiągnięciu limitu iteracyjnego dekodera. Późniejsze dopasowanie reguł przepisywania wykonuje dodatkową operację decodeURI(), co może umożliwić ominięcie zabezpieczeń i dostęp do chronionych tras.

Podatność w OpenClaw przed wersją 2026.5.28 umożliwia nadpisywanie poświadczeń dostawcy przez pliki dotenv w przestrzeni roboczej. Atakujący z niższym poziomem zaufania do skonfigurowanych ścieżek wejściowych mogą ujawnić wrażliwe dane i poświadczenia, które powinny pozostać w zaufanych granicach.