Katalog podatności CVE

GNU Emacs przed wersją 31.2 (oraz TRAMP do 2.8.2) pozwala na wstrzyknięcie poleceń systemu operacyjnego przez nazwę pliku, ponieważ tramp-user-regexp ma niekompletną listę niedozwolonych danych wejściowych. Uwaga: problem istnieje z powodu niekompletnej poprawki dla CVE-2026-79992.

databasement przed wersją 1.8.2 pozwala na zdalne wykonanie kodu, ponieważ uruchamia pewne polecenia (np. mariadb-dump) z nazwą bazy danych, którą może określić każdy uwierzytelniony użytkownik. Na przykład --result-file=/app/public/index.php może zapisać do index.php. Innymi słowy, cytowanie zapobiega wstrzyknięciu poleceń OS w mariadb-dump, ale samo wstrzyknięcie argumentów wystarcza do pośredniego wykonania kodu.

W interfejsie webowym Cohesity NetBackup Administration Console wykryto podatność na podstawowy atak XSS (niewłaściwa neutralizacja tagów HTML związanych ze skryptami). Dotyczy wersji przed 11.2.

W zhayujie CowAgent do wersji 2.2.0 wykryto podatność w funkcji json.loads komponentu Streaming Tool-Call Argument Handler. Manipulacja prowadzi do niekontrolowanej alokacji zasobów. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Interuse i-Bos w wersji 3.0 występuje podatność polegająca na nieprawidłowej neutralizacji specjalnych elementów w poleceniu SQL (SQL injection). Umożliwia to atakującemu manipulowanie zapytaniami do bazy danych.

Podatność w stosie Bluetooth LE Zephyr pozwala zdalnemu, nieuwierzytelnionemu atakującemu na użycie po zwolnieniu (use-after-free) w obsłudze kanałów L2CAP CoC z dynamicznym PSM. Wysyłając ramkę danych, a następnie żądanie rozłączenia, atakujący może spowodować, że kolejka pracy systemu przetworzy pracę wskazującą na zwolniony kanał, co prowadzi do naruszenia pamięci lub uszkodzenia kolejki pracy.

Implementacja procedury LLCP w kontrolerze Bluetooth LE Zephyra zatrzymuje węzeł odbiorczy po akceptacji LL_PHY_UPDATE_IND, ale ścieżki obsługi nieprawidłowych PDU nie zwalniają tego węzła przed zakończeniem procedury. Atakujący z zasięgu radiowego może wysłać sekwencję PDU, która powoduje naruszenie asercji (awarię urządzenia) lub wyciek węzłów z puli odbiorczej, prowadząc do niedostępności Bluetooth do czasu restartu.

Podatność w kodzie procedury sterującej warstwy łącza Bluetooth (plik ull_llcp_conn_upd.c) polega na tym, że zatrzymany węzeł RX nie jest zwalniany, gdy procedura Connection Update / Connection Parameter przyjmie ścieżkę 'nieprawidłowy PDU, zakończ połączenie'. W efekcie dochodzi do wycieku węzła z puli RX kontrolera. Podatność może być wywołana zdalnie przez urządzenie w zasięgu radiowym, bez parowania, bondingu ani szyfrowania.

W implementacji procedury kontrolnej warstwy łącza Bluetooth (LLCP) dla tworzenia Connected Isochronous Stream (CIS) występuje wyciek pamięci węzła RX (ctx->node_ref.rx). Gdy w ścieżce obsługi nieprawidłowego PDU w pliku ull_llcp_cc.c połączenie zostaje zakończone bez zwolnienia zatrzymanego węzła, naruszony zostaje niezmiennik sprawdzany w llcp_lr_check_done() i llcp_rr_check_done(). Atakujący w zasięgu radiowym może to wywołać pojedynczym dodatkowym LL Control PDU na nieuwierzytelnionym, niezaszyfrowanym łączu ACL.

Podatność w sterowniku I2S dla układów Espressif (ESP32) w Zephyr OS. Funkcja i2s_esp32_trigger_check() nie sprawdza wskaźników strumienia dla kierunków RX/TX, co przy konfiguracji tylko jednego kierunku prowadzi do dereferencji NULL. Umożliwia to nieuprzywilejowanemu wątkowi w trybie użytkownika wywołanie i2s_trigger() z nieobsługiwanym kierunkiem i wywołanie paniki jądra (odmowa usługi).

Sterownik entropii NXP MCUX TRNG w Zephyrze (drivers/entropy/entropy_mcux_trng.c) przekazuje liczbę bajtów żądania bezpośrednio do funkcji SDK TRNG_GetRandomData(), która w przypadku układów i.MX RT5xx/RT6xx zawsze kopiuje całe 32-bitowe słowa i zaokrągla pobieranie entropii do wielokrotności 128 bajtów. Przy długości niebędącej wielokrotnością czterech dochodzi do przepełnienia bufora o maksymalnie 127 bajtów, co może prowadzić do uszkodzenia pamięci jądra lub stosu.

Implementacja RFC 6528 w subsys/net/ip/tcp.c generowała numer ISN z SHA-256(unique_key || four-tuple) plus offset czasu działania, gdzie unique_key to 128-bitowy sekret wypełniany przez sys_csrand_get(). Wartość zwracana tego wywołania była ignorowana, a flaga jednorazowej inicjalizacji ustawiana na true nawet przy błędzie. Ponieważ sys_csrand_get() przy błędzie nie wypełnia bufora, pojedyncze niepowodzenie pozostawiało unique_key jako same zera do końca rozruchu, bez ponowienia, logu i fallbacku.

Podatność w mechanizmie weryfikacji wywołań systemowych Zephyra (z_vrfy_fuel_gauge_get_props() i z_vrfy_fuel_gauge_set_props()) polega na alokacji tablic o zmiennym rozmiarze (VLA) na stosie jądra na podstawie niezwalidowanego argumentu len pochodzącego od użytkownika. Brak sprawdzenia zakresu przed alokacją i kopiowaniem pozwala wątkowi w trybie użytkownika (CONFIG_USERSPACE) na zapis poza zakresem w trybie nadzorcy z kontrolowaną przez atakującego długością i zawartością danych.

W podsystemie IPv6 stosu Zephyr stwierdzono podatność na odczyt poza zakresem pamięci w funkcji net_route_ipv6_packet(). Problem wynika z braku sprawdzenia, czy wpis w pamięci podręcznej sąsiadów (neighbor cache) posiada adres warstwy łącza, zanim zostanie on użyty. Atakujący z tej samej sieci może wymusić stan nierozwiązanego sąsiada i doprowadzić do odczytu pamięci poza tablicą adresów, co może skutkować awarią systemu (panic) lub wyciekiem danych.

Sterownik Goodix GT9xx w drivers/input/input_gt911.c odczytuje liczbę punktów dotyku z rejestru statusu kontrolera i maskuje ją wartością 0x0F, co daje zakres 0..15. Wartość ta jest używana bezpośrednio jako granica pętli wypełniającej tablicę stosu point_reg[], której rozmiar wynosi CONFIG_INPUT_GT911_MAX_TOUCH_POINTS (zakres 1..5, domyślnie 1). Kontroler zgłaszający więcej punktów niż rozmiar tablicy powoduje zapis poza jej granicami — do 112 bajtów danych pochodzących od urządzenia — na stosie wątku system workqueue.

W podsystemie Zephyr zbus, w backendzie IPC agenta proxy (subsys/zbus/proxy_agent/zbus_proxy_agent_ipc.c), nazwa kanału odrzuconej ramki między domenami była logowana ze specyfikatorem %s bez zapewnienia zakończenia bufora znakiem NUL. Ramka struct zbus_proxy_msg zawiera tablicę channel_name[] o stałym rozmiarze jako ostatni element, a jedyny kod weryfikujący jej zakończenie odrzuca właśnie takie ramki — więc ostrzeżenie wypisywało niezakończony bufor dokładnie na ścieżkach błędów. Każdy peer domain mogący wysłać ramkę o rozmiarze sizeof(struct zbus_proxy_msg) na endpoint ipc_service może to wywołać.

omarchy-theme-set w Omarchy 4 przed wersją 4.0.1 umożliwia wykonanie kodu za pośrednictwem motywu od zewnętrznego dostawcy, ponieważ pliki umieszczone w ~/.local/state/omarchy/current/theme mogą zawierać wykonywalną zawartość z niezaufanego repozytorium Git.

Kilka endpointów Postiz zwraca pełny wiersz bazy danych rekordu, na którym operuje, zamiast tylko pól potrzebnych klientowi. Dwa z nich zawierają sekrety, których wywołujący nie powinien otrzymywać: publiczne API usuwania kanału zwraca token dostępu i token odświeżania platformy, a GET /user/organizations zwraca klucz API organizacji każdemu członkowi. Oba endpointy wymagają ważnej sesji, klucza API lub tokenu OAuth i są ograniczone do organizacji wywołującego.

pH7Builder (pH7 Social Dating CMS) przed wersją 18.6.0 zawiera podatność związaną z zakodowanym na stałe kluczem API w pliku Tool.class.php, która pozwala nieuwierzytelnionym atakującym na obejście kontroli dostępu do API przez sfałszowanie nagłówka Host. Atakujący mogą wysłać Host: localhost z private_api_key=dev772277 i domyślnym dozwolonym URL, aby uzyskać adresy e-mail członków, adresy IP, numery telefonów i pola kont bankowych.

pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność ujawnienia informacji, która pozwala klientom API uzyskać wrażliwe dane członków, ponieważ UserController::users() i user() zwracają niefiltrowane wiersze bazy danych. Atakujący posiadający ważny prywatny klucz API mogą odczytać hashe haseł bcrypt, niegasnące tokeny resetowania hashValidation oraz sekrety TOTP, aby przejąć konta i obejść uwierzytelnianie dwuskładnikowe.