Katalog podatności CVE

Cursor to edytor kodu stworzony do programowania z wykorzystaniem AI. Przed wersją 2.3, gdy Agent Cursor działał w trybie Auto-Run z włączonym trybem Allowlist, niektóre wbudowane polecenia powłoki mogły być wykonywane bez pojawiania się na liście dozwolonych i bez wymagania zgody użytkownika.

FreeImage 3.18.0 zawiera podatność Use After Free w pliku PluginTARGA.cpp w funkcji loadRLE(). Po zwolnieniu pamięci jest ona nadal używana, co może prowadzić do nieokreślonego zachowania.

W usłudze Orchestrator występuje podatność, która może pozwolić nieautoryzowanemu zdalnemu atakującemu na ominięcie wymagań dotyczących uwierzytelniania wieloskładnikowego. Udana eksploitacja może umożliwić atakującemu utworzenie konta użytkownika z uprawnieniami administratora bez konieczności przechodzenia przez uwierzytelnianie wieloskładnikowe.

Podatność CVE-2026-22238 występuje w BLUVOYIX z powodu niewłaściwej autoryzacji w interfejsach API administracyjnych. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność, wysyłając specjalnie przygotowane żądania HTTP do podatnego API administracyjnego, aby utworzyć nowego użytkownika z uprawnieniami administratora.

Podatność CVE-2026-22237 występuje w BLUVOYIX z powodu ujawnienia wrażliwej dokumentacji wewnętrznych API. Nieautoryzowany zdalny atakujący może wykorzystać tę podatność, wysyłając specjalnie przygotowane żądania HTTP do API ujawnionych w dokumentacji.

Podatność występuje w BLUVOYIX z powodu niewłaściwej autoryzacji w interfejsach API backendu. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność, wysyłając specjalnie przygotowane żądania HTTP do podatnych interfejsów API.

W jądrze Linux w bibliotece libceph funkcja decode_pool() nie sprawdzała poprawnie granic podczas dekodowania uszkodzonej mapy OSD. Złośliwie spreparowana mapa może prowadzić do odczytu poza zakresem pamięci.

Podatność związana z nieprawidłowym przypisaniem uprawnień w Modular DS modular-connector umożliwia eskalację uprawnień. Problem ten dotyczy wersji Modular DS od n/a do 2.5.1 włącznie.

Wtyczka News and Blog Designer Bundle dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do i włącznie z 1.1 poprzez parametr szablonu. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików .php na serwerze.

Wtyczka Integration Opvius AI dla WooCommerce w WordPressie jest podatna na atak typu Path Traversal we wszystkich wersjach do 1.3.0 włącznie. Problem wynika z funkcji `process_table_bulk_actions()`, która przetwarza ścieżki plików dostarczone przez użytkowników bez odpowiednich kontroli uwierzytelnienia, weryfikacji nonce lub walidacji ścieżek.

Enclave to bezpieczny sandbox JavaScript zaprojektowany do bezpiecznego wykonywania kodu agentów AI. W wersjach przed 2.7.0 występuje krytyczna podatność na ucieczkę z sandboxa w enclave-vm, która pozwala na wykonanie dowolnego kodu w hostującym środowisku Node.js przez nieufny kod JavaScript.

Webgrind w wersji 1.1 zawiera podatność na zdalne wykonanie poleceń, która pozwala nieautoryzowanym atakującym na wstrzykiwanie poleceń systemowych za pomocą parametru dataFile w pliku index.php. Atakujący mogą wykonywać dowolne polecenia systemowe, manipulując tym parametrem.

Sysax Multi Server 6.95 zawiera podatność na odmowę usługi w polu hasła administracyjnego. Atakujący może nadpisać pole hasła 800 bajtami powtarzających się znaków, co powoduje awarię aplikacji i zakłócenie działania serwera.

eXtplorer w wersji 2.1.14 zawiera podatność na obejście uwierzytelniania, która pozwala atakującym na logowanie bez hasła poprzez manipulację żądaniem logowania. Wykorzystując tę lukę, atakujący mogą przesyłać złośliwe pliki PHP i wykonywać zdalne polecenia w podatnym systemie zarządzania plikami.

Explorer32++ 1.3.5.531 zawiera podatność przepełnienia bufora w rekordach Structured Exception Handler (SEH). Atakujący może wykorzystać długi argument nazwy pliku (ponad 396 znaków) do uszkodzenia łańcucha SEH i potencjalnego wykonania dowolnego kodu.

Inbit Messenger w wersjach 4.6.0 do 4.9.0 zawiera zdalną podatność przepełnienia bufora na stosie, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez wysłanie nieprawidłowych pakietów sieciowych. Atakujący może nadpisać Structured Exception Handler (SEH) i wykonać shellcode na podatnych systemach Windows.

Inbit Messenger 4.6.0 - 4.9.0 zawiera zdalną podatność wykonania poleceń, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń poprzez wykorzystanie przepełnienia stosu w protokole komunikatora. Atakujący mogą wysyłać specjalnie spreparowane pakiety XML na port 10883 z złośliwym ładunkiem, aby wywołać podatność i wykonać polecenia z uprawnieniami systemowymi.

Modem Flame II HSPA USB zawiera podatność na niecytowaną ścieżkę usługi w konfiguracji usługi Windows. Atakujący mogą wykorzystać tę niecytowaną ścieżkę w 'C:\Program Files (x86)\Internet Telcel\ApplicationController.exe', aby wykonać dowolny kod z podwyższonymi uprawnieniami systemowymi.

Oprogramowanie WAGO 750-8212 PFC200 G2 2ETH RS zawiera podatność na eskalację uprawnień, która pozwala atakującym na manipulację ciasteczkami sesji użytkownika. Atakujący mogą zmodyfikować parametry 'name' i 'roles' ciasteczka, aby uzyskać uprawnienia administratora bez konieczności uwierzytelnienia.

Prowise Reflect w wersji 1.0.9 zawiera zdalną podatność wstrzykiwania klawiszy, która pozwala atakującym na wysyłanie zdarzeń klawiatury przez odsłonięty WebSocket na porcie 8082. Atakujący mogą tworzyć złośliwe strony internetowe, aby wstrzykiwać naciśnięcia klawiszy, otwierać aplikacje i wpisywać dowolny tekst.