Katalog podatności CVE

W FreeRDP przed wersją 3.21.0 funkcja `xf_Pointer_New` zwalnia pamięć `cursorPixels` w przypadku błędu, a następnie `pointer_free` wywołuje `xf_Pointer_Free`, które ponownie zwalnia tę samą pamięć, co prowadzi do podwójnego zwolnienia (use-after-free) wykrywanego przez ASan. Złośliwy serwer może wywołać tę podatność po stronie klienta, powodując awarię (DoS) oraz potencjalne uszkodzenie sterty, co może umożliwić wykonanie kodu w zależności od zachowania alokatora i układu sterty.

HotCRP to oprogramowanie do recenzji konferencyjnych. W wersji 3.1, wydanej w kwietniu 2024 roku, wprowadzono problem związany z niewłaściwie sanitizowanym generowaniem kodu dla formuł HotCRP, co umożliwiło użytkownikom wywołanie wykonania dowolnego kodu PHP. Problem został naprawiony w wersji 3.2.

W FreeRDP przed wersją 3.21.0 wykryto podatność na przepełnienie bufora sterty po stronie klienta w dekodowaniu pasm ClearCodec. Specjalnie spreparowane współrzędne pasm umożliwiają zapis poza granicami bufora powierzchni docelowej.

W FreeRDP przed wersją 3.21.0 wykryto podatność na przepełnienie bufora sterty po stronie klienta w ścieżce dekodowania RDPGFX ClearCodec. Złośliwie spreparowane dane resztkowe powodują zapis poza dozwolonym obszarem podczas generowania kolorów, co może prowadzić do awarii i potencjalnego wykonania kodu.

W oprogramowaniu OpenStack keystonemiddleware w wersjach 10.5-10.7 przed 10.7.2, 10.8-10.9 przed 10.9.1 oraz 10.10-10.12 przed 10.12.1 wykryto problem. Oprogramowanie pośredniczące external_oauth2_token nie oczyszcza przychodzących nagłówków uwierzytelniania przed przetwarzaniem tokenów OAuth 2.0. Wysyłając sfałszowane nagłówki tożsamości, takie jak X-Is-Admin-Project, X-Roles lub X-User-Id, uwierzytelniony atakujący może podnieść uprawnienia lub podszyć się pod innych użytkowników. Dotyczy to wszystkich wdrożeń korzystających z oprogramowania pośredniczącego external_oauth2_token.

W FreeRDP przed wersją 3.21.0 wykryto podatność przepełnienia bufora sterty po stronie klienta w ścieżce `gdi_SurfaceToSurface`. Problem wynika z niezgodności między ograniczeniem docelowego prostokąta a rzeczywistym rozmiarem kopii, co może prowadzić do awarii i potencjalnego wykonania kodu.

W FreeRDP przed wersją 3.21.0, w komponencie ClearCodec, funkcja `clear_decompress` wywołuje `freerdp_image_copy_no_overlap` bez walidacji docelowego prostokąta, co umożliwia odczyt/zapis poza zakresem poprzez spreparowane aktualizacje powierzchni RDPGFX. Złośliwy serwer może wywołać przepełnienie bufora sterty po stronie klienta, prowadząc do awarii (DoS) oraz potencjalnego uszkodzenia sterty z ryzykiem wykonania kodu.

W FreeRDP przed wersją 3.21.0 funkcja `freerdp_bitmap_decompress_planar` nie sprawdza poprawności wartości `nSrcWidth` i `nSrcHeight` względem `planar->maxWidth` i `maxHeight` przed dekodowaniem RLE. Złośliwy serwer może wykorzystać tę lukę do wywołania przepełnienia bufora sterty po stronie klienta, prowadząc do awarii (DoS) oraz potencjalnego uszkodzenia sterty z ryzykiem wykonania kodu.

W UTT HiPER 810 w wersji 1.7.4-141218 znaleziono lukę w funkcji strcpy w pliku /goform/setSysAdm. Manipulacja argumentem passwd1 prowadzi do przepełnienia bufora, co umożliwia zdalne wykorzystanie tej podatności.

Podatność typu SQL Injection w module zdalnych sesji w Devolutions Server. Problem dotyczy wersji Devolutions Server od 2025.3.1 do 2025.3.12.

Punkty końcowe Altium 365 były skonfigurowane z nadmiernie liberalną polityką CORS, co pozwalało na uwierzytelnione żądania międzydomenowe z innych subdomen kontrolowanych przez Altium, w tym forum.live.altium.com. W rezultacie, JavaScript działający na tych domenach mógł uzyskać dostęp do API roboczej przestrzeni w kontekście zalogowanego użytkownika.

Wtyczka Registration & Login with Mobile Phone Number dla WooCommerce w WordPressie jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 1.3.1. Problem wynika z niewłaściwego weryfikowania tożsamości użytkowników przed ich uwierzytelnieniem przez funkcję fma_lwp_set_session_php_fun().

Wtyczka RegistrationMagic dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 6.0.7.1 włącznie. Problem wynika z funkcji 'add_menu', która jest dostępna przez akcję AJAX 'rm_user_exists', co pozwala na dowolne aktualizacje ustawienia 'admin_order'.

Podatność CVE-2026-23800 dotyczy niewłaściwego przypisania uprawnień w module Modular DS, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji Modular DS od 2.5.2 do przed 2.6.0.

MCPJam inspector to platforma do lokalnego rozwoju dla serwerów MCP. Wersje 1.4.2 i wcześniejsze są podatne na zdalne wykonanie kodu (RCE), co pozwala atakującemu na wysłanie spreparowanego żądania HTTP, które uruchamia instalację serwera MCP, prowadząc do RCE.

WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.6.2 zawiera podatność na odbity Cross-Site Scripting (XSS) w pliku html/memorando/insere_despacho.php. Aplikacja nie sanitizuje ani nie koduje danych wejściowych użytkownika przekazywanych przez parametr GET id_memorando przed odzwierciedleniem ich w źródle HTML (prawdopodobnie wewnątrz bloku <script> lub atrybutu). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego JavaScriptu lub HTML do kontekstu sesji przeglądarki użytkownika. Podatność naprawiona w wersji 3.6.2.

Wtyczka Omni Secure Files w wersjach przed 0.1.14 zawiera podatność na dowolne przesyłanie plików w dołączonym przykładowym punkcie końcowym plupload. Obsługa /wp-content/plugins/omni-secure-files/plupload/examples/upload.php umożliwia nieuwierzytelnione przesyłanie plików bez egzekwowania bezpiecznych typów plików, co pozwala atakującemu umieścić pliki pod kontrolą atakującego w katalogu przesyłania wtyczki. Może to prowadzić do zdalnego wykonania kodu, jeśli przesłany zostanie plik wykonywalny na serwerze i zostanie on następnie uruchomiony.

Dive to aplikacja desktopowa typu MCP Host, która umożliwia integrację z modelami LLM. W wersjach przed 0.13.0, złośliwy deeplink może zainstalować skonfigurowany przez atakującego serwer MCP bez wystarczającej potwierdzenia od użytkownika, co może prowadzić do wykonania dowolnych poleceń lokalnych na maszynie ofiary.

Livewire Filemanager, powszechnie używany w aplikacjach Laravel, zawiera plik LivewireFilemanagerComponent.php, który nie przeprowadza walidacji typu pliku i MIME, co umożliwia zdalne wykonanie kodu (RCE) poprzez przesłanie złośliwego pliku PHP, który może zostać następnie wykonany za pośrednictwem adresu URL /storage/, jeśli zostanie ukończony powszechnie stosowany proces konfiguracji w aplikacjach Laravel.

Podatność na zdalne wstrzyknięcie poleceń w wbudowanej usłudze profilera sterty w Apache bRPC (wszystkie wersje < 1.15.0) na wszystkich platformach umożliwia atakującemu wstrzyknięcie zdalnego polecenia. Przyczyną jest to, że wbudowana usługa profilera sterty bRPC (/pprof/heap) nie waliduje parametru extra_options dostarczonego przez użytkownika i wykonuje go jako argument wiersza poleceń. Atakujący mogą wykonywać zdalne polecenia za pomocą parametru extra_options. Dotyczy to scenariuszy użycia wbudowanej usługi profilera sterty bRPC do profilowania pamięci jemalloc. Naprawa: 1. Zaktualizuj bRPC do wersji 1.15.0. 2. Zastosuj poprawkę ręcznie (https://github.com/apache/brpc/pull/3101).