Katalog podatności CVE

W bibliotece glibc wykryto podatność w funkcjach strfmon i strfmon_l, które są podatne na przepełnienie bufora podczas przetwarzania wyrównania do prawej z użyciem dopełnienia szerokości. Problem wynika z użycia nieprawidłowej długości w wewnętrznej operacji pamięciowej, co powoduje zapis danych poza zamierzony bufor.

Pakiet go-ntlmssp w wersji przed 0.1.1 zawiera podatność na panikę z powodu wyjścia poza zakres wycinka (slice out of bounds) podczas przetwarzania złośliwej wiadomości wyzwania NTLM. Może to doprowadzić do awarii każdego procesu Go używającego `ntlmssp.Negotiator` jako transportu HTTP.

W GNU Midnight Commander 4.8.29-146-g299d9a2fb odkryto dereferencję pustego wskaźnika (NULL pointer dereference) w funkcji x_error_handler() w pliku tty/x11conn.c. Uwaga: opis jest kwestionowany, ponieważ powinien być klasyfikowany jako problem użyteczności (operacja X cicho kończy się niepowodzeniem).

W programie unzip wykryto usterkę związaną z nieprawidłowym obsługiwaniem ciągów Unicode, co prowadzi do dereferencji pustego wskaźnika (null pointer dereference). Atakujący może dostarczyć specjalnie spreparowane archiwum zip, powodując awarię lub wykonanie kodu.

W programie opj2_decompress w openjpeg2 2.4.0 wykryto usterkę w obsłudze katalogu wejściowego z dużą liczbą plików. Gdy nie uda się przydzielić bufora do przechowywania nazw plików, program wywołuje free() na niezainicjalizowanym wskaźniku, co prowadzi do błędu segmentacji i potencjalnej odmowy usługi.

Podatność w standardowej bibliotece Go (net/http) powoduje, że przy przekierowaniu HTTP do domeny, która nie jest subdomeną ani dokładnym dopasowaniem początkowej domeny, klient HTTP nie przekazuje wrażliwych nagłówków, takich jak Authorization czy Cookie. Na przykład przekierowanie z foo.com na www.foo.com przekaże nagłówek Authorization, ale przekierowanie na inną domenę już nie.

Podatność w pakiecie html/template języka Go pozwala na ominięcie automatycznego kodowania kontekstowego, jeśli błędy zwracane przez metodę MarshalJSON zawierają dane kontrolowane przez użytkownika. Może to prowadzić do wstrzyknięcia nieoczekiwanej treści do szablonów HTML.

Podatność w bibliotece net/http języka Go pozwala atakującemu HTTP na użycie rozszerzeń chunk do zmuszenia odbiorcy do odczytania znacznie większej ilości danych z sieci niż faktycznie znajduje się w treści żądania lub odpowiedzi. Złośliwy klient HTTP może wykorzystać to do automatycznego odczytania przez serwer dużej ilości danych (do około 1 GiB).

W initramfs-tools w wersji 0.92f lokalni użytkownicy mogą nadpisywać dowolne pliki poprzez atak symlinkowy na tymczasowy plik /tmp/initramfs.debug. Producent kwestionuje tę podatność, twierdząc, że 'init działa w kontekście jednego użytkownika; nie ma możliwości, aby to było wykorzystywane'.

W iputils przed wersją 20250602 występuje podatność, która pozwala na zdalne wywołanie odmowy usługi (błąd aplikacji lub nieprawidłowe zbieranie danych) poprzez spreparowany pakiet ICMP Echo Reply. Problem wynika z przepełnienia 64-bitowej liczby całkowitej w operacji mnożenia znaku czasowego.

W podatności CVE-2025-9403 zidentyfikowano problem w jqlang jq do wersji 1.6, dotyczący funkcji run_jq_tests w pliku jq_test.c komponentu JSON Parser. Manipulacja tą funkcją może prowadzić do osiągalnej asercji.

W niektórych konfiguracjach mod_ssl na serwerze Apache HTTP w wersjach od 2.4.35 do 2.4.63 możliwe jest obejście kontroli dostępu przez zaufanych klientów przy użyciu wznowienia sesji TLS 1.3. Problematyczne są konfiguracje, w których mod_ssl jest ustawiony dla wielu wirtualnych hostów, z których każdy ma przypisany inny zestaw zaufanych klientów.

W określonych konfiguracjach proxy, atak typu denial of service na serwer Apache HTTP w wersjach od 2.4.26 do 2.4.63 może być wywołany przez nieufne klientów, co prowadzi do asercji w mod_proxy_http2. Dotyczy to konfiguracji, w której reverse proxy jest skonfigurowane dla zaplecza HTTP/2 z włączonym ProxyPreserve.

W jądrze Linuxa naprawiono podatność związaną z nieokreślonym zachowaniem w interpreterze BPF dla operacji dzielenia i reszty z dzielenia na liczbach całkowitych. Problem dotyczył użycia makra abs() na operandach s32.

Zidentyfikowano słabość w GNU Binutils 2.45, dotyczącą funkcji vfinfo w pliku ldmisc.c. Wykonanie manipulacji może prowadzić do odczytu poza przydzielonym obszarem pamięci.

Vim to edytor tekstu działający w trybie tekstowym, który w wersjach wcześniejszych niż 9.1.0647 zawiera błąd podwójnego zwolnienia pamięci w pliku src/alloc.c:616. Podczas zamykania okna, dane tagstack są usuwane, a następnie lista quickfix dla tego okna również jest usuwana, co prowadzi do problemów z pamięcią.

Biblioteka urllib3, używana jako klient HTTP w Pythonie, miała problem z nieograniczoną liczbą linków w łańcuchu dekompresji w wersjach od 1.24 do przed 2.6.0. Umożliwia to złośliwemu serwerowi wstawienie praktycznie nieograniczonej liczby kroków kompresji, co prowadzi do wysokiego zużycia CPU i ogromnego zużycia pamięci.

Użytkownik, który jest uwierzytelniony i zalogowany przez Single Sign-On (SSO), mógł wyłączyć egzekwowanie SSO dla swojego konta za pomocą API n8n. To umożliwiło mu stworzenie lokalnego hasła i bezpośrednie logowanie się za pomocą adresu e-mail i hasła, całkowicie omijając politykę SSO organizacji.

W bibliotece GNU C (glibc lub libc6) do wersji 2.29 występuje niekontrolowana rekurencja w funkcji check_dst_limits_calc_pos_1 w pliku posix/regexec.c, co zostało zademonstrowane przez wyrażenie '(|)(\1\1)*' w narzędziu grep. Utrzymujący oprogramowanie kwestionują, czy jest to rzeczywiście podatność.

Podatność CVE-2026-5763 dotyczy niezgodności rozmiaru żądania w virtio-scsi, co może prowadzić do nieprawidłowego przetwarzania danych. Może to skutkować błędami w komunikacji między urządzeniami wirtualnymi a hostem.