Katalog podatności CVE

Effect to framework TypeScript składający się z kilku pakietów, które współpracują w celu budowy aplikacji TypeScript. Przed wersją 3.20.0, używając `RpcServer.toWebHandler` (lub `HttpApp.toWebHandlerRuntime`) w handlerze trasy Next.js App Router, występowały problemy z `AsyncLocalStorage` w Node.js.

@isaacs/brace-expansion to hybrydowy fork TypeScript brace-expansion, który przed wersją 5.0.1 jest podatny na atak typu denial of service (DoS) spowodowany nieograniczonym rozszerzaniem zakresów klamrowych. Atakujący może dostarczyć wzór zawierający powtarzające się numeryczne zakresy klamrowe.

W wersjach przed 1.19.10 biblioteki @hono/node-server, podczas korzystania z serwowania statycznych plików oraz ochrony opartych na trasach, występuje niespójne dekodowanie URL, co może umożliwić dostęp do chronionych zasobów statycznych.

minimatch to minimalne narzędzie do dopasowywania, które konwertuje wyrażenia glob na obiekty RegExp w JavaScript. W wersjach przed 10.2.3, 9.0.7, 8.0.6, 7.4.8, 6.2.2, 5.1.8, 4.2.5 i 3.1.4 zagnieżdżone `*()` extgloby generują wyrażenia regularne z zagnieżdżonymi nieograniczonymi kwantyfikatorami, co prowadzi do katastrofalnych skutków.

W jądrze Linuxa zidentyfikowano podatność, która pozwala nieuprzywilejowanemu lokalnemu użytkownikowi na zarządzanie politykami AppArmor. Użytkownik może załadować, zastąpić lub usunąć profile, wykorzystując atak 'confused deputy', co prowadzi do pełnego zarządzania polityką.

Hono to framework aplikacji webowych, który wspiera dowolne środowisko uruchomieniowe JavaScript. Przed wersją 4.12.4, używając serveStatic razem z ochronami middleware opartymi na trasach, niespójne dekodowanie URL pozwalało na dostęp do chronionych zasobów statycznych bez odpowiednich uprawnień.

W wersjach przed 1.15.1 i 0.31.1 w kliencie HTTP Axios występuje podatność na zanieczyszczenie prototypu, która umożliwia atakującemu wstrzykiwanie dowolnych nagłówków HTTP do wychodzących żądań. Problem ten znajduje się w adapterze HTTP (lib/adapters/http.js).

Vim to otwartoźródłowy edytor tekstu działający w wierszu poleceń. Przed wersją 9.2.0479 występuje podatność na wstrzykiwanie poleceń w funkcji tar#Vimuntar() w pliku runtime/autoload/tar.vim podczas dekompresji archiwów .tgz w systemach podobnych do Unix.

W jądrze systemu Linux zidentyfikowano podatność w module AppArmor, która dotyczy walidacji stanów początkowych DFA w funkcji unpack_pdb. Stany początkowe są odczytywane z niezaufanych danych i mogą prowadzić do odczytu poza granicami tablic stanów DFA, co skutkuje błędem.

To pozostałość po GHSA-g5vv-9gxw-82hx / CVE-2026-87819. Poprawka w wersji 3.1.60 uczyniła Actor._from_string wolnym od wyrażeń regularnych, ale parse_actor_and_date nadal uruchamia _re_actor_epoch na tej samej linii autora/zatwierdzającego/taggera o krok wcześniej. Wzorzec ten wykazuje kwadratowe cofanie przy końcowym epo...

W bibliotece GitPython metoda Remote.pull() przekazuje pozycyjny argument refspec bezpośrednio do procesu potomnego git pull, podczas gdy zabezpieczenie przed niebezpiecznymi opcjami sprawdza tylko argumenty nazwane. Aplikacja przekazująca dane kontrolowane przez atakującego jako refspec (np. nazwę gałęzi podaną przez użytkownika) może umożliwić wstrzyknięcie niebezpiecznych opcji.

Walidator nazw konfiguracji w GitPython neutralizuje tylko znaki CR/LF/NUL dla etykiety "option"; nie odrzuca znaków =, #, ;, [, ] ani białych znaków w nazwie opcji. Funkcja write_section zapisuje nazwę opcji dosłownie do pliku konfiguracyjnego, więc nazwa taka jak sshCommand = touch <cmd> może wstrzyknąć konfigurację.

GitPython od 2022 do 2026 roku wdrażał metodycznie dwa zabezpieczenia: Git.check_unsafe_protocols(url) (zgłasza UnsafeProtocolError dla URL-i typu <transport>::) oraz Git.check_unsafe_options(...) (zgłasza UnsafeOptionError dla opcji z listy zabronionych). Opis wskazuje, że wdrożenie tych zabezpieczeń nie objęło wszystkich ścieżek kodu.

W aiohttp wykryto wiele przypadków nadmiernego lub nieograniczonego zużycia pamięci oraz nadmiernego zużycia CPU przy żądaniach kontrolowanych przez atakującego. Atakujący może wywołać wyczerpanie zasobów za pomocą specjalnie spreparowanych żądań.

Koła (wheels) Pillow od wersji 11.1.0 zawierają dołączoną bibliotekę libopenjp2 z błędem przepełnienia bufora sterty (zapis), który został naprawiony w gałęzi master OpenJPEG, ale nigdy nie ukazał się w wydaniu OpenJPEG. Ponieważ koło dołącza własną kopię, załatany host nie chroni przed problemem.

Opis tego zgłoszenia nie zawiera wystarczających informacji technicznych o podatności — zawiera jedynie notatkę o sposobie zgłoszenia i odwołania do plików, które nie zostały załączone. Nie można na tej podstawie określić charakteru ani zakresu problemu.

node-tar to pełnoprawne narzędzie Tar dla Node.js. Przed wersją 7.5.11, tar (npm) może być oszukany w celu utworzenia symlinków wskazujących poza katalog ekstrakcji, co umożliwia nadpisywanie plików poza bieżącym katalogiem roboczym.

Złośliwy serwer MySQL (lub atak typu man-in-the-middle) może wymusić na mysql2 wysłanie poświadczeń w postaci jawnego tekstu, żądając przełączenia uwierzytelniania na mysql_clear_password. Sterownik spełnia żądanie bez weryfikacji, czy połączenie korzysta z TLS.

Podatność w bibliotece libtiff związana z obsługą tagu SamplesPerPixel, umożliwiająca atakującemu wywołanie odmowy usługi (DoS). Dostępne są aktualizacje pakietów dla Amazon Linux 2023, które naprawiają ten problem.

Wykryto i naprawiono kilka podatności (dwie o krytycznym poziomie CVSSv3) w zależności libheif. Mogą one prowadzić do zdalnego wykonania kodu (RCE) na systemach Linux bazujących na glibc pod pewnymi warunkami.