Katalog podatności CVE

Wykryto podatność w embedded-graphics do wersji 0.8.2. Dotyczy ona funkcji ImageRaw::draw_sub_image w pliku src/image/image_raw.rs, gdzie manipulacja argumentem width może prowadzić do przepełnienia liczb całkowitych. Atak można przeprowadzić zdalnie, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

Wtyczki WordPress MDJM Event Management przed wersją 1.7.8.5 oraz Mobile Events Manager do wersji 1.4.8.3 nie sprawdzają uprawnień, nonce ani typu rekordu przed trwałym usunięciem wpisu wskazanego w żądaniu usunięcia pozycji playlisty. Umożliwia to nieuwierzytelnionym atakującym zniszczenie dowolnych wpisów, stron i załączników multimedialnych z pominięciem kosza.

Wtyczka WordPress YouTube Embed w wersjach od 10.0 do 10.3 nie wykonuje kontroli autoryzacji w jednej ze swoich akcji AJAX, opierając się wyłącznie na nonce wyświetlanym na każdej stronie front-endu, oraz nie escapuje zapisanych danych przed renderowaniem. Umożliwia to nieuwierzytelnionym atakującym zapisanie dowolnych skryptów webowych, które wykonają się w sesji każdego użytkownika przeglądającego podatną treść, w tym administratora.

Wtyczka WordPress Hoo Companion 1.0.2 nie posiada żadnych kontroli autoryzacji ani walidacji w jednej ze swoich funkcji importu i nie sanityzuje danych przed zapisaniem ich jako ustawienia aktywnego motywu. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych, które wykonają się u każdego odwiedzającego witrynę, w tym administratorów, a to samo żądanie niszczy istniejące ustawienia motywu.

Wtyczka WordPress GenieWords w wersjach od 1.5.27 do 1.5.34 nie posiada kontroli autoryzacji w niektórych swoich akcjach REST API i AJAX oraz dekoduje zapisane wartości przed ich wyświetleniem. Umożliwia to nieuwierzytelnionym użytkownikom nadpisanie konfiguracji wtyczki i wstrzyknięcie dowolnych skryptów webowych, które wykonują się na każdej stronie front-endu.

CrewAI przed wersją fb2323b oferuje podejście oparte na czarnej liście w Pythonie, które działa na niewłaściwym poziomie abstrakcji — jest to inna podatność niż CVE-2026-2275. Blokowanie nazw modułów w czasie importu nie uwzględnia dostępności pełnego grafu obiektów Pythona; na przykład wywołanie ctypes.CDLL(None) ładuje bibliotekę C bez użycia instrukcji importu. Sandbox wewnątrzprocesowy nie może ograniczać się do systemu importu, lecz musi obejmować cały runtime interpretera Pythona.

Rhymix w wersji przed 2.1.31 pozwala na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR), znane jako RVE-2026-1. Poprzez dodatkowe zmienne możliwy jest dostęp do dowolnych plików.

CyberPanel w wersji przed 2.4.4 próbuje wykryć domenę "alais" (drugą domenę serwującą tę samą treść co domena główna; poprawna pisownia to "alias") za pomocą filtra zapytań ORM zamiast instrukcji warunkowej Pythona "if".

W cheshire-cat-ai Cheshire Cat AI do wersji 1.9.2 wykryto podatność w funkcji _authorize_http_key w pliku core/cat/factory/custom_auth_handler.py. Manipulacja argumentem user_id prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być użyty.

W systemie inventory-management-system (Rizwan17) wykryto słabość w funkcji createUserAccount w pliku register.php. Manipulacja argumentem usertype pozwala na obejście kontroli uprawnień, co umożliwia zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.

W SourceCodester School Registration and Fee System 1.0 wykryto podatność SQL injection w pliku /bilal/save_class.php. Manipulacja argumentem Category umożliwia zdalne wstrzyknięcie kodu SQL. Exploit został publicznie ujawniony i może być wykorzystany.

W jaychouchannel Tourism-Management-System wykryto brak uwierzytelniania w komponencie Update Endpoint. Manipulacja nieznaną funkcją pozwala na zdalne przeprowadzenie ataku bez uwierzytelnienia. Exploit został publicznie ujawniony, a poprawka jest dostępna.

W jaychouchannel Tourism-Management-System wykryto podatność w komponencie User Register Endpoint w pliku UsersController.java. Manipulacja argumentem UsersEntity prowadzi do niewłaściwego zarządzania uprawnieniami, umożliwiając zdalny atak. Exploit jest publicznie dostępny, a poprawka istnieje.

MKVToolNix do wersji 101.0 zawiera przepełnienie bufora sterty w bibliotece avilib podczas parsowania superindeksu ODML z powodu zawijania liczb całkowitych w arytmetyce 32-bitowej. Atakujący może stworzyć złośliwy plik AVI z nadmierną liczbą wpisów, co prowadzi do przepełnienia bufora podczas parsowania przez mkvmerge.

W jaychouchannel Tourism-Management-System wykryto podatność w funkcji resetPass w pliku UsersController.java w komponencie Password Recovery. Manipulacja prowadzi do słabego mechanizmu odzyskiwania hasła, umożliwiając zdalny atak. Exploit został publicznie ujawniony, a poprawka jest dostępna.

SIPp do wersji 3.7.7 zawiera przepełnienie bufora w funkcji get_header() w pliku src/sip_parser.cpp podczas przetwarzania wiadomości SIP z nagłówkami przekraczającymi 20 490 bajtów. Nieuwierzytelnieni zdalni atakujący mogą wysłać spreparowane wiadomości SIP z nadmiernymi nagłówkami, aby przepełnić statyczny bufor i spowodować awarię procesu.

SIPp do wersji 3.7.7 zawiera przepełnienie bufora stosu w funkcji createAuthHeader() podczas przetwarzania wyzwań uwierzytelniania SIP z nadmiernymi parametrami algorytmu. Złośliwy serwer SIP może wysłać spreparowane wyzwanie 401 lub 407, aby uszkodzić stos i spowodować awarię procesu klienta.

SIPp do wersji 3.7.7 zawiera przepełnienie bufora w funkcji get_peer_tag() podczas przetwarzania nagłówków To w wiadomościach SIP z parametrami tag o rozmiarze 2049 bajtów lub większym. Nieuwierzytelnieni zdalni atakujący mogą wysłać spreparowane wiadomości SIP z nadmiernymi parametrami tag, aby przepełnić statyczny bufor i spowodować awarię procesu.

ESPnet przed wersją 202609 deserializuje punkty kontrolne modeli za pomocą torch.load z parametrem weights_only=False, co umożliwia wykonanie dowolnego kodu z plików dostarczonych przez atakującego. Atakujący mogą stworzyć złośliwe pliki punktów kontrolnych, które wykonają kod podczas deserializacji przy ładowaniu przez ścieżkę inicjalizacji lub dostrajania.

Biblioteka Nodemailer w wersjach 9.1.0 do 10.0.4 zawiera podatność na atak typu denial of service wynikającą z kwadratowej złożoności obliczeniowej w komponencie addressparser podczas przetwarzania adresów e-mail z komentarzami zgodnymi z RFC 5322. Atakujący może przygotować złośliwe nagłówki e-mail z atomami rozdzielonymi komentarzami, co powoduje nadmierne zużycie CPU i blokuje pętlę zdarzeń Node.js na kilka sekund.