Katalog podatności CVE

Podatność w funkcji parse_month w pliku /time/strptime.rs biblioteki relibc (commit ab6a2e) umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez przetworzenie spreparowanego wejścia.

W RustFS od wersji 1.0.0-alpha.1 do 1.0.0-beta.9, gdy włączony jest frontend FTP, operacje odczytu i sprawdzania (RETR, SIZE, MDTM, CWD) omijają funkcję autoryzacji IAM, co pozwala każdemu uwierzytelnionemu użytkownikowi FTP na odczyt i sprawdzanie dowolnych obiektów w dowolnym zasobniku, niezależnie od polityk IAM.

W systemie RustFS w wersjach od 1.0.0-alpha.1 do 1.0.0-beta.9 wykryto pominięcie autoryzacji w API administracyjnym replikacji bucketów. Handler ListRemoteTargetHandler do wyświetlania zdalnych celów replikacji sprawdza jedynie istnienie poświadczeń żądania, ale nie weryfikuje, czy wywołujący ma uprawnienia replikacji lub administratora. W rezultacie uwierzytelniony użytkownik bez skutecznych uprawnień do bucketa lub administracji może wyświetlić konfigurację zdalnych celów replikacji dla bucketa.

W jądrze Linuxa stwierdzono podatność w sterowniku vfio/pci, polegającą na nieprawidłowej kolejności operacji podczas zamykania urządzenia. Przed wyłączeniem funkcji PCI nie są czyszczone bufory DMABUF, co stwarza okno czasowe, w którym po wyczyszczeniu bitu MSE (Memory Space Enable) dostęp do BAR-ów jest nadal możliwy przez DMABUF.

W jądrze Linux w systemie plików F2FS odkryto podatność polegającą na braku synchronizacji dostępu do listy rozszerzeń plików. Funkcja f2fs_sbi_show() odczytuje listę rozszerzeń, licznik extension_count i hot_ext_count bez trzymania blokady sb_lock, co przy równoczesnej modyfikacji przez sysfs może prowadzić do odczytu niespójnych danych, a w konsekwencji do dostępu poza zakres pamięci lub wyświetlania nieaktualnych informacji.

W jądrze Linux wykryto podatność use-after-free w sterowniku sieciowym enetc, związaną z obsługą buforów DMA w mechanizmie NTMP. Błąd może prowadzić do cichego uszkodzenia pamięci, gdy zwolniony bufor DMA zostanie ponownie wykorzystany przez sprzęt.

W jądrze Linuxa w sterowniku mailbox-test wykryto podatność polegającą na braku zwalniania kanałów w przypadku błędu podczas inicjalizacji. Prowadzi to do wycieku pamięci oraz potencjalnie do użycia po zwolnieniu (UAF), ponieważ struktura klienta jest usuwana automatycznie przez devm.

W jądrze Linuxa w sterowniku mailbox-test wykryto podatność polegającą na podwójnym zwalnianiu pamięci kanału. Gdy kanał RX jest aliasem kanału TX (różne MMIO), zwolnienie obu prowadzi do błędu.

W jądrze Linux w sterowniku DRM dla GPU Intel Xe wykryto podatność use-after-free. Funkcja zamykająca strumień eustall wywoływała drm_dev_put() przed wyłączeniem strumienia i zwolnieniem zasobów, co mogło prowadzić do dostępu do już zwolnionej pamięci.

W sterowniku idpf w jądrze Linux wykryto podatność prowadzącą do podwójnego zwolnienia pamięci (double free) i użycia po zwolnieniu (use-after-free) w ścieżkach błędów inicjalizacji urządzeń pomocniczych (aux device). Błąd występuje, gdy funkcja auxiliary_device_add() zawiedzie, a kod przechodzi przez etykiety err_aux_dev_add i err_aux_dev_init, co powoduje ponowne zwolnienie już zwolnionej struktury iadev.

W jądrze Linux w systemie plików Btrfs wykryto błąd, w którym podczas zapisu transakcji, po nieudanym zapisie, przedwcześnie czyszczono strukturę danych śledzącą brudne strony (dirty_pages io tree). Powodowało to, że brudne bufory extent nie były poprawnie czyszczone podczas odmontowywania, co prowadziło do ostrzeżeń i potencjalnej utraty danych.

W jądrze Linux w podsystemie IOMMU dla Intel VT-d wykryto podatność polegającą na wywołaniu dereferencji wskaźnika NULL lub uszkodzeniu licznika referencji. Problem występuje, gdy funkcja teardown jest wykonywana bez sprawdzenia, czy struktura dev_pasid istnieje, co może prowadzić do awarii systemu lub naruszenia bezpieczeństwa pamięci.

W OpenProject przed wersjami 17.3.3 i 17.4.1 występuje podatność CSRF na ścieżce /users/:id przez parametr POST user[admin]. Atakujący może wykorzystać tę lukę do nieautoryzowanej zmiany uprawnień administratora.

OpenProject w wersjach przed 17.3.3 i 17.4.1 przechowuje token OAuth dostępu do OneDrive/SharePoint w postaci jawnego tekstu w pamięci podręcznej Rails.cache pod deterministycznym kluczem. Token jest regularnie odświeżany przez zadanie cron i wywołania OAuth, a żaden z dozwolonych backendów cache (file_store, memcache, redis) nie szyfruje danych w spoczynku.

W RustFS 1.0.0-beta.4 uwierzytelnieni użytkownicy z uprawnieniem PutObject na własnym zasobniku mogą wykorzystać podatność typu path traversal w funkcji automatycznego wyodrębniania Snowball do zapisywania dowolnych obiektów w zasobnikach innych użytkowników, całkowicie łamiąc izolację wielodostępową. Podatność łączy trzy błędy: brak sanityzacji ../ w normalizacji kluczy wpisów tar, dopasowywanie symboli wieloznacznych IAM na surowych (nieoczyszczonych) ścieżkach oraz czyszczenie ścieżek systemu plików rozwiązujące ../ poza granicami zasobników.

Podatność w OpenProject przed wersjami 17.3.3 i 17.4.1 umożliwia endpointowi journal diff ujawnianie ukrytych historycznych wartości pól bez sprawdzania widoczności obiektów i pól.

W urządzeniu Cudy LT300 w wersji oprogramowania starszej niż 2.5.12 występuje podatność na wstrzykiwanie poleceń systemu operacyjnego. Uwierzytelniony atakujący może wysłać złośliwe dane do parametru cbid.system.ntp.current w interfejsie konfiguracji czasu systemowego, co pozwala na zdalne wykonanie dowolnych poleceń.

Podatność w Envoy umożliwia awarię procesu podczas logowania przy użyciu formatu %REQUESTED_SERVER_NAME(X:Y)% z opcjami HOST_FIRST lub SNI_FIRST, gdy nagłówek hosta jest nieobecny w żądaniu. Problem występuje w wersjach od 1.37.0 do 1.37.4 oraz 1.38.0 do 1.38.2.

Podatność w Devolutions Remote Desktop Manager umożliwia uwierzytelnionemu atakującemu z dostępem do zapisu w udostępnionym obszarze roboczym wykonanie skryptu PowerShell w kontekście innego użytkownika poprzez kolizję nazw wyświetlanych z istniejącym linkiem do skryptu VPN. Problem dotyczy niestandardowego edytora VPN PowerShell w wersjach 2026.2.5 do 2026.2.11.

Biblioteka extract-zip nie weryfikuje celów dowiązań symbolicznych podczas rozpakowywania archiwów zip. Podczas przetwarzania złośliwego pliku zip zawierającego dowiązanie symboliczne ze ścieżką względną, taką jak '../../../../etc/passwd', extract-zip rozpakowuje dowiązanie bez walidacji, co pozwala mu wskazywać poza katalog docelowy. W zależności od sposobu użycia extract-zip, atakujący może odczytać lub zapisać dowolne pliki.