Katalog podatności CVE

Zapis poza dozwolonym obszarem pamięci w bibliotece libcodec2-sec-flacdec.so przed wersją SMR Oct-2026 Release 1 pozwala lokalnym atakującym na zapis poza granicami pamięci.

Zapis poza zakresem w libsmkvextractor.so przed SMR Oct-2026 Release 1 pozwala lokalnym atakującym na wykonanie dowolnego kodu.

Wada bezpieczeństwa w TinyFileManager do wersji 2.6 umożliwia nieograniczone przesyłanie plików przez funkcję move_uploaded_file w pliku tinyfilemanager.php, manipulując argumentem fullpath. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność w RuoYi 4.8.3 polega na nieznanej funkcji, która umożliwia atak typu cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie.

Podatność w jackq XCMS do wersji 3fab5342cc509945a7ce1b8ec39d19f701b89261. Funkcja PublicController::sendFindPwdMail w pliku Admin/Home/Controller/PublicController.class.php (komponent Password Recovery Mail Endpoint) jest podatna na wstrzyknięcie SQL przez argument email. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W ZKTeco BioTime 9.5.6 Build 20260130.3206 wykryto podatność polegającą na użyciu zakodowanego na stałe klucza kryptograficznego. Atak może być przeprowadzony zdalnie. Problem naprawiono w wersji 9.5.6 Build 3623.

W ZKTeco BioTime 9.5.6 Build 20260130.3206 wykryto podatność w nieznanym fragmencie kodu pliku /personnel/api/employees/ należącego do komponentu Employee REST API. Manipulacja danymi prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie.

W ZKTeco BioTime 9.5.6 Build 20260130.3206 wykryto lukę w nieznanej części pliku /iclock/finger_data/ należącego do komponentu Biometric Data Endpoint. Manipulacja argumentem emp_code prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie.

W ZKTeco BioTime 9.5.6 Build 20260130.3206 wykryto podatność w nieznanej funkcjonalności pliku /base/api/systemSettings należącego do komponentu System Settings API. Manipulacja prowadzi do niewłaściwej kontroli dostępu, a atak można zainicjować zdalnie.

W bibliotece libnfs do wersji 6.0.2 (przed commitem 7613236) występuje błąd zapisu poza granicami bufora w pliku lib/libnfs-zdr.c, dotyczący funkcji libnfs_zdr_bytes(), libnfs_zdr_string() i libnfs_zdr_array(). Wartość maxsize przekazywana przez wywołującego nie jest respektowana.

VeraCrypt 1.26.29 (kompilacja FUSE-T) na macOS czasami pozwala na niezamierzony dostęp do odszyfrowanych danych. Po odmontowaniu wolumenu nie kończy usługi pomocniczej FUSE-T (go-nfsv4) ani powiązanych procesów pomocniczych VeraCrypt, które nadal udostępniają odszyfrowany obraz wolumenu (volume.dmg) przez sesję SMB na interfejsie loopback i zachowują uchwyt do surowego urządzenia.

ngx_cache_purge przed wersją 3.0.4 może pozwolić na usunięcie plików przez atak symlink w pewnych sytuacjach, gdy nginx i serwowana aplikacja (np. WordPress) działają na tym samym koncie użytkownika. Atakujący musi być w stanie utworzyć symlink w ścieżce cache. Wersja 3.0.4 naprawia to dla przypadku symlinka utworzonego wcześniej, ale nie rozwiązuje wyścigu TOCTOU.

W ZKTeco BioTime 9.5.6 Build 20260130.3206 wykryto lukę bezpieczeństwa w nieznanej funkcjonalności pliku /base/api/v1.0/systemSettings/db_migrate_setting/ należącego do komponentu Database Migration Functionality. Manipulacja prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie.

Słabość w CicadasCMS do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab dotyczy funkcji TemplateController.input w pliku /system/cms/template/input komponentu Template Management. Manipulacja argumentem filePath prowadzi do przejścia ścieżki (path traversal). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W CicadasCMS (westboy) do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab wykryto podatność typu path traversal w funkcji TemplateController.save w pliku /system/cms/template/save (komponent Backend Template Editor). Atakujący może wykorzystać ją zdalnie, a publiczny exploit jest już dostępny. Producent został powiadomiony, ale nie odpowiedział.

W deepseek-ai deepseek-harness do wersji 0.1.1-rc.2 wykryto podatność w funkcji agent komponentu dsh-workflow-worker-thread. Manipulacja prowadzi do wymuszenia określonego przepływu pracy (behavioral workflow). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

GV-E-Map Server V18.2.0A zawiera hasło do bazy danych zapisane jawnym tekstem w komponencie aplikacji. Poświadczenie można odzyskać poprzez statyczną analizę dystrybuowanego pliku binarnego, a także może być ono ujawnione w pamięci procesu podczas działania.

W sterowniku apsys DVFS jądra systemu występuje możliwość odczytu poza zakresem lub uszkodzenia rejestru sprzętowego z powodu niewłaściwej walidacji indeksu częstotliwości. Może to prowadzić do niestabilności systemu lub odmowy usługi z lokalnymi uprawnieniami.

W stosie OTA modemu występuje możliwy przepełnienie bufora na stosie z powodu nieprawidłowej walidacji informacji o planowaniu w komunikatach SIB1. Może to prowadzić do zdalnego wykonania kodu lub odmowy usługi bez potrzeby dodatkowych uprawnień.

W modemie występuje możliwość ujawnienia informacji z powodu braku filtrowania danych wrażliwych w zrzutach awaryjnych (crash dumps). Może to prowadzić do lokalnego ujawnienia informacji bez konieczności posiadania dodatkowych uprawnień.