Katalog podatności CVE

Podatność CVE-2026-34192 dotyczy oprogramowania uruchamianego jako użytkownik bez uprawnień, które może wykonywać nieprawidłowe wywołania systemowe GPU, prowadząc do błędnej ścieżki i wykorzystania pamięci po jej zwolnieniu.

Poprawka bezpieczeństwa dla CVE-2025-0728 w bibliotece eclipse-threadx NetX Duo wprowadziła nową podatność. Wspólna ścieżka czyszczenia w procesie PUT serwera HTTP wywołuje funkcję fx_file_close() nawet gdy plik nie został otwarty, co prowadzi do niezdefiniowanego zachowania, podwójnego zamknięcia lub uszkodzenia pamięci.

Podatność w Dell Server Hardware Manager przed wersją 3.2.2 wynika z nieprawidłowej kontroli dostępu. Umożliwia ona lokalnemu atakującemu z niskimi uprawnieniami podniesienie swoich przywilejów w systemie.

Podatność DoS w interfejsie 10G iSCSI platformy Hitachi Virtual Storage Platform może prowadzić do zakłócenia dostępności systemu. Dotyczy to wielu modeli, w tym E990, E1090, E390, G100 oraz VX7.

W podatności CVE-2026-8806 w module Ethernet FX5-ENET/IP serii MELSEC iQ-F firmy Mitsubishi Electric, atakujący zdalnie może spowodować warunki odmowy usługi (DoS) poprzez wysyłanie dużej liczby pakietów komunikacyjnych w krótkim czasie, co prowadzi do przeciążenia przetwarzania produktu.

W podatności CVE-2026-8805 występuje przepełnienie całkowitej liczby w funkcji EtherNet/IP modułu FX5-EIP serii MELSEC iQ-F firmy Mitsubishi Electric. Umożliwia to zdalnemu atakującemu spowodowanie stanu odmowy usługi (DoS) poprzez szybkie nawiązywanie dużej liczby połączeń TCP.

Podatność SQL injection w pgAdmin 4 występuje w szesnastu szablonach Jinja, gdzie opis użytkownika jest bezpośrednio wstawiany do literału SQL bez odpowiedniego escapowania. Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania obiektów (domeny, tabele zewnętrzne, języki, wyzwalacze zdarzeń) może wstrzyknąć dowolne polecenia SQL, a w przypadku roli z uprawnieniami superużytkownika PostgreSQL doprowadzić do wykonania poleceń systemu operacyjnego.

PraisonAI w wersjach przed 1.5.115 zawiera podatność na traversję ścieżek w MultiAgentMonitor, która nie sanitizuje identyfikatorów agentów podczas budowania ścieżek plików. Atakujący mogą wprowadzać sekwencje traversji, takie jak ../, w identyfikatorach agentów, co pozwala na odczyt, zapis lub nadpisywanie dowolnych plików.

PraisonAI w wersjach przed 1.5.128 zawiera podatność na wykonanie agenta z innego źródła w punkcie końcowym AGUI, co pozwala zdalnym atakującym na wywołanie dowolnego wykonania agenta. Brak uwierzytelnienia w punkcie końcowym POST /agui oraz hardkodowane nagłówki Access-Control-Allow-Origin: * umożliwiają obejście kontroli CORS.

PraisonAI w wersjach przed 4.5.128 zawiera podatność na wykonanie dowolnych poleceń powłoki, ponieważ moduły interfejsu użytkownika mają na stałe ustawiony tryb zatwierdzania na auto, co pomija konfigurację administratora z zmiennej środowiskowej PRAISON_APPROVAL_MODE. Uwierzytelnieni atakujący mogą zlecać agentowi LLM wykonywanie dowolnych poleceń powłoki.

Zidentyfikowano problem bezpieczeństwa w Chef 360, który może umożliwić nieautoryzowany dostęp do chronionych punktów API w określonych warunkach. Problem wynika z niewłaściwego przetwarzania ścieżek zakodowanych w URL podczas obsługi żądań.

W wersjach przed 0.9.6 platformy Open WebUI występuje podatność w odwrotnym proxy terminala, która pozwala uwierzytelnionym użytkownikom na wykorzystanie sekwencji `../` do ucieczki z zamierzonego zakresu ścieżki, co może prowadzić do nieautoryzowanego dostępu do plików i punktów końcowych na serwerze terminalowym.

Podatność w Cost Management Interactive Experiences umożliwia nieautoryzowanemu atakującemu ujawnienie wrażliwych informacji poprzez sieć. Luka wynika z ekspozycji poufnych danych dla nieuprawnionego podmiotu.

Nieprawidłowa autoryzacja w usłudze Azure Bot Service umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.

W wersjach 15.0.6 i poniżej, funkcja TarUtils.untar() w OneDev tworzy dowiązania symboliczne bez walidacji, czy cel jest ścieżką bezwzględną. To pozwala na zapis do dowolnych lokalizacji na serwerze przez uwierzytelnionych użytkowników z dostępem do zapisu w CI Job.

W narzędziu conda-smithy, przed wersją 3.61.0, występowała podatność, która umożliwiała niezamierzony dostęp do repozytoriów feedstock poprzez przejęcie nazwy użytkownika GitHub. Problem wynikał z użycia zmiennych nazw użytkowników GitHub jako identyfikatorów do kierowania zaproszeniami do repozytoriów.

W Coturn przed wersją 4.10.0 wykryto przepełnienie bufora stosu w funkcji decode_oauth_token_gcm(). Atakujący może dostarczyć token OAuth z polem nonce_len o wartości do 65535, które jest bezpośrednio używane w memcpy() do kopiowania danych do 256-bajtowego bufora na stosie, co prowadzi do zapisu do 735 bajtów poza bufor. Przepełnienie następuje przed weryfikacją uwierzytelnienia AES-GCM, więc atakujący nie potrzebuje klucza OAuth ani ważnego tokena.

W wersjach 0.1.5.post3 i wcześniejszych, mostek WhatsApp w nanobot nie sanitizuje pola fileName z wiadomości dokumentu, co pozwala na atakującemu na ucieczkę z katalogu media/ poprzez wysłanie odpowiednio skonstruowanej nazwy pliku.

Punto Switcher w wersji do 4.5.0.583 zawiera podatność na niecytowany element ścieżki wyszukiwania, która umożliwia lokalnym atakującym wykonanie dowolnego kodu. Wykorzystują oni wywołanie WinExec bez pełnej ścieżki do RunDll32.exe podczas wywoływania shell32.dll Control_RunDLL input.dll.

W Node.js występuje luka w API serwera HTTP/2, która pozwala serwerom na dalsze akceptowanie danych nawet po wysłaniu ramki `GOAWAY`. Dotyczy to wersji **Node.js 22** oraz **Node.js 24**.