Katalog podatności CVE

W bibliotece usbredir wykryto błąd zapisu poza granicami bufora. Rozpoczęcie strumienia izochronicznego OUT z liczbą transferów równą 1 pozostawia pojedynczy bufor transferu trwale niezgłoszony, co omija sprawdzanie granic w usbredirhost_iso_packet() i pozwala drugiej stronie usbredir zapisywać poza końcem tablicy deskryptorów pakietów przy każdym kolejnym pakiecie izochronicznym.

W platformie Graylog API aktualizacji widoków dla zapisanych wyszukiwań i pulpitów pozwala użytkownikowi z uprawnieniem edycji, ale bez własności encji, dołączyć shareRequest przyznający uprawnienia właściciela dowolnemu kontu. Wybrane konto może następnie usunąć zapisane wyszukiwanie lub pulpit albo odebrać dostęp pierwotnemu właścicielowi. Problem dotyczy wersji od 6.3.0 do 6.3.14, 7.0.9 i 7.1.4.

W systemie InvenTree endpoint POST /api/machine/{pk}/restart/ używa IsAuthenticatedOrReadScope bez wymagania roli ADMIN, która jest wymagana przy innych operacjach zarządzania maszynami. Każdy uwierzytelniony użytkownik bez roli ADMIN, w tym użytkownik magazynu z samą rolą STOCK, może wywołać MachineRestart i zrestartować dowolną zarejestrowaną maszynę, resetując jej status i przerywając aktywne drukowanie, skanowanie lub inne operacje. Problem naprawiono w wersji 1.4.0.

W CKAN MCP Server zabezpieczenie SSRF validateServerUrl sprawdza tylko nazwę hosta i nigdy nie wykonuje zapytania DNS. Każdy dostarczony przez wywołującego server_url, którego nazwa hosta rozwiązuje się na adres wewnętrzny, przechodzi walidację, więc serwer wysyła żądania do loopbacku i metadanych chmurowych (169.254.169.254). Jest to trzecie obejście tego samego zabezpieczenia, sięgające IMDS. Poprawka znajduje się w wersji 0.4.108.

W HomeBox domyślnie włączone zabezpieczenia SSRF BlockBogonNets i BlockCloudMetadata w notifier_url.go nie sprawdzają adresów IPv4 osadzonych w prefiksach NAT64 64:ff9b::/96 i 64:ff9b:1::/48. Uwierzytelniony użytkownik może przesłać notifier generic:// przez POST /v1/notifiers lub POST /v1/notifiers/test, a w instancji z wyjściem NAT64/DNS64 brama może przetłumaczyć zaakceptowany adres IPv6 na metadane chmurowe, localhost lub inny wewnętrzny host IPv4. Ścieżka testowa zwraca informacje o wyniku dostarczenia, co może ujawnić pobrane metadane, takie jak tymczasowe poświadczenia. Problem naprawiono w wersji 0.26.0.

W HomeBox endpoint POST /v1/groups/members wywołuje HandleGroupMemberAdd i GroupService.AddMember z użyciem dostarczonego przez wywołującego userID bez wymagania roli właściciela, tokenu zaproszenia, zgody użytkownika docelowego ani powiadomienia. Każdy uwierzytelniony użytkownik może zmusić inne konto do dołączenia do swojej grupy, ujawnić adres e-mail i nazwę użytkownika docelowego przez listę członków oraz utworzyć warunek członkostwa wykorzystywany przez osobną podatność czyszczenia zapasów między grupami. Problem naprawiono w wersji 0.26.0.

Tinyauth przed wersją 5.1.0 ujawnia zdalnie obserwowalną różnicę czasową między próbami uwierzytelnienia dla istniejących i nieistniejących lokalnych nazw użytkowników. Funkcje loginHandler i basicAuth zwracają szybko po zgłoszeniu brakującego użytkownika, podczas gdy istniejący użytkownik powoduje wykonanie kosztownej weryfikacji hasła bcrypt.

Tinyauth przed wersją 5.1.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu wysłać żądania POST /api/user/login z 257 różnymi nieistniejącymi nazwami użytkowników, aby wypełnić MaxLoginAttemptRecords i aktywować globalną blokadę logowania. Funkcja IsAccountLocked sprawdza ten globalny stan przed walidacją niepowiązanych kont, powodując, że prawidłowi użytkownicy otrzymują HTTP 429 przez około 300 sekund.

draw.io przed wersją 30.2.7 pomija porównanie stateToken i cookieToken w obsłudze callbacku OAuth, gdy IS_GAE ma wartość false, co dotyczy samodzielnie hostowanych wdrożeń Docker i WAR. Atakujący może dostarczyć kod autoryzacyjny dla swojej tożsamości w chmurze i nakłonić ofiarę do odwiedzenia adresu URL callbacku, powodując uwierzytelnienie sesji ofiary jako tożsamość atakującego.

draw.io przed wersją 30.2.7 w wdrożeniach z ENABLE_DRAWIO_PROXY=1 jest podatny na server-side request forgery, ponieważ sprawdzenie adresu prywatnego w Utils.sanitizeUrl() używa jednego rozwiązania DNS, a ProxyServlet.java później wywołuje URL.openConnection() i wykonuje drugie rozwiązanie. Nazwa hosta kontrolowana przez atakującego może rozwiązać się na adres publiczny podczas walidacji, a następnie na adres prywatny, link-local lub metadanych chmury przy otwieraniu połączenia.

Fabio w wersjach od 1.6.6 do 1.7.2 nie chroni poprawnie konfigurowanych nagłówków przekazywanych (ClientIPHeader, TLSHeader, RequestID) przed usunięciem przez nieuwierzytelnionego klienta. Naprawa CVE-2025-48865 obejmuje tylko zestaw domyślnych nagłówków, co pozwala atakującemu manipulować tymi ważnymi nagłówkami przed backendem.

Dasel w wersjach od 3.0.0 do 3.11.2 ma błąd w tokenizerze, który przy selektorze kończącym się białym znakiem odczytuje poza zakresem tablicy, powodując panikę i zakończenie procesu. Dotyczy to również danych wejściowych przekazywanych przez Tokenize() lub dasel.Query.

KubeEdge od wersji 1.0.0 do 1.21.2, 1.22.2 i 1.23.1 ma podatność na wyczerpanie pamięci. Czytanie wiadomości przez pkg/viaduct/pkg/packer ufa 32-bitowemu polu PayloadLen z CloudHub, przydzielając pamięć przed walidacją górnego limitu. Uwierzytelniony złośliwy lub skompromitowany węzeł brzegowy może wysyłać spreparowane nagłówki, powodując wyczerpanie pamięci, zakłócenia pracy CloudHub i przerwy w komunikacji.

Dasel w wersjach od 3.0.0 do 3.11.1 nie ma limitu głębokości rekurencji przy przetwarzaniu zagnieżdżonych struktur JSON lub XML. Głęboko zagnieżdżone dane atakującego mogą wyczerpać stos gorutyny, powodując krytyczny błąd i zatrzymanie całego procesu.

draw.io przed wersją 30.2.5 umożliwia wykonanie skryptów JavaScript w kontekście aplikacji przez otwarcie spreparowanego pliku .drawio. Luka wykorzystuje brak kodowania HTML w etykietach tekstowych, co pozwala na obejście wcześniejszej poprawki CVE-2026-46642. Atakujący może przejąć dane diagramu, ciasteczka (nie-HttpOnly), a nawet wykonać akcje w imieniu ofiary.

Sterownik Intel SEDI IPM (drivers/ipm/ipm_sedi.c) nie sprawdza długości komunikatu odczytanej z rejestru doorbell przed skopiowaniem danych do bufora incoming_data_buf. Pole długości (10 bitów) pozwala na zapis do 1023 bajtów, podczas gdy bufor ma tylko 128 bajtów, a kontrola granic w HAL jest kompilowana tylko przy włączonym CONFIG_DEBUG. Prowadzi to do zapisu poza bufor w kontekście przerwania, co może uszkodzić struktury jądra i spowodować awarię systemu.

Eksperymentalny stos USB hosta w Zephyr zawiera podwójne zwolnienie pamięci (double free) w buforze deskryptora konfiguracji urządzenia USB. Na trzech ścieżkach błędów bufor jest zwalniany, ale wskaźnik nie jest zerowany, co prowadzi do ponownego zwolnienia podczas sprzątania. Podatność może być wyzwolona przez złośliwe lub uszkodzone urządzenie USB.

Hatchet przed wersją 0.106.1 ma brak filtra dzierżawcy (tenant) w ścieżce gRPC WorkerStatus w pkg/repository/durable_events.go. Uwierzytelniony pracownik jednego dzierżawcy, znając identyfikator UUID zadania innego dzierżawcy, może odczytać odpowiadające rekordy dziennika zdarzeń, co prowadzi do naruszenia izolacji danych.

Właściciele plików nie byli w stanie odblokować blokad typu TYPE_TOKEN nałożonych przez innych użytkowników, co powodowało trwałe zablokowanie plików bez możliwości odzyskania ich poza bazą danych. Podatność ta może być wykorzystana do trwałego zablokowania dostępu do danych.

Hatchet przed wersją 0.91.1 ma brak walidacji dzierżawcy w punkcie API GET /api/v1/stable/durable-tasks/{durable-task} w api-contracts/openapi/paths/v1/workflow-runs/workflow_run.yaml. Uwierzytelniony użytkownik, znając identyfikator UUID zadania innego dzierżawcy, może odczytać jego dziennik zdarzeń, w tym nazwy zadań, identyfikatory przepływów pracy, komunikaty użytkownika, warunki oczekiwania i logikę rozgałęzień.