Katalog podatności CVE

Picomatch to matcher glob napisany w JavaScript. Wersje przed 4.0.4, 3.0.2 i 2.3.2 są podatne na atak typu Regular Expression Denial of Service (ReDoS) podczas przetwarzania stworzonych wzorców extglob.

W zależności librsvg wykryto i naprawiono podatność związaną z pamięcią. W określonych warunkach środowiskowych może ona prowadzić do zdalnego wykonania kodu (RCE) w systemach Linux opartych na glibc.

Biblioteka faraday-http-cache domyślnie przechowuje odpowiedzi w formacie JSON i odczytuje je z powrotem za pomocą JSON.load, które honoruje klucz json_class i wywołuje metodę json_create na wskazanej klasie. Nagłówki odpowiedzi są przechowywane bez zmian w wpisie cache, więc złośliwy serwer pochodzenia może zwrócić odpowiedź z kluczem json_class prowadzącym do niebezpiecznej deserializacji.

Podatność w Perlu 5.30.0 do 5.38.0 pozwala na przepełnienie bufora sterty podczas kompilacji spreparowanego wyrażenia regularnego. Atakujący może wykorzystać ten błąd do kontrolowanego przepełnienia bufora.

W Perlu odkryto podatność przepełnienia bufora sterty. Problem występuje w gałęziach wydań 5.34, 5.36, 5.38 i 5.40 oraz w wersjach rozwojowych od 5.33.1 do 5.41.10. Gdy w lewej stronie operatora `tr` znajdują się bajty spoza ASCII, funkcja `S_do_trans_invmap` może przepełnić bufor.

W bibliotece py-lmdb 0.97 odkryto błąd dzielenia przez zero w funkcji mdb_env_open2, który występuje, gdy funkcja mdb_env_read_header odczyta zerową wartość dla określonego pola rozmiaru. Problem może zostać wykorzystany poprzez dostarczenie spreparowanego pliku data.mdb.

Wykryto i naprawiono kilka podatności w zależności libvips, z których dwie mają wysoki poziom dotkliwości w CVSSv4. Wersje sharp przed 0.35.0 przetwarzające niezaufane dane są podatne.

Wywołanie endpointu tokenów z typem grantu urn:ietf:params:oauth:grant-type:device_code i fałszywym device_code pozwala uzyskać token bearer, o ile znany jest prawidłowy identyfikator klienta obsługujący przepływ urządzenia. Narusza to specyfikację RFC 8628.

Opis tego zgłoszenia nie zawiera wystarczających informacji technicznych o podatności — zawiera jedynie notatkę o sposobie zgłoszenia i odwołania do plików, które nie zostały załączone. Nie można na tej podstawie określić charakteru ani zakresu problemu.

W aiohttp wykryto wiele przypadków nadmiernego lub nieograniczonego zużycia pamięci oraz nadmiernego zużycia CPU przy żądaniach kontrolowanych przez atakującego. Atakujący może wywołać wyczerpanie zasobów za pomocą specjalnie spreparowanych żądań.

GitPython od 2022 do 2026 roku wdrażał metodycznie dwa zabezpieczenia: Git.check_unsafe_protocols(url) (zgłasza UnsafeProtocolError dla URL-i typu <transport>::) oraz Git.check_unsafe_options(...) (zgłasza UnsafeOptionError dla opcji z listy zabronionych). Opis wskazuje, że wdrożenie tych zabezpieczeń nie objęło wszystkich ścieżek kodu.

Walidator nazw konfiguracji w GitPython neutralizuje tylko znaki CR/LF/NUL dla etykiety "option"; nie odrzuca znaków =, #, ;, [, ] ani białych znaków w nazwie opcji. Funkcja write_section zapisuje nazwę opcji dosłownie do pliku konfiguracyjnego, więc nazwa taka jak sshCommand = touch <cmd> może wstrzyknąć konfigurację.

W koderze libtiff w Pillow (funkcja PyImaging_LibTiffEncoderNew w src/encode.c) spreparowane znaczniki TIFF mogą powodować ujawnienie zawartości pamięci oraz błąd segmentacji. Problem występuje podczas tworzenia kodera LibTiff.

Koła (wheels) Pillow od wersji 11.1.0 zawierają dołączoną bibliotekę libopenjp2 z błędem przepełnienia bufora sterty (zapis), który został naprawiony w gałęzi master OpenJPEG, ale nigdy nie ukazał się w wydaniu OpenJPEG. Ponieważ koło dołącza własną kopię, załatany host nie chroni przed problemem.

Koła pyca/cryptography zawierają statycznie powiązaną kopię OpenSSL. Wersje OpenSSL zawarte w kołach przed wersją cryptograph 48.01 są podatne na problem bezpieczeństwa.