Katalog podatności CVE

W Denx U-Boot przed 2026.04 odkryto problem. Podatność na przepełnienie liczby całkowitej istnieje w funkcji ext4fs_get_bgdtable, gdzie obliczenie rozmiaru może prowadzić do niedostatecznej alokacji, a ten niedostatecznie zaalokowany bufor jest używany w memcpy(), co może prowadzić do wykonania dowolnego kodu, denial of service lub innych nieokreślonych skutków.

W Denx U-Boot przed 2026.04 odkryto problem. Podatność na przepełnienie liczby całkowitej w obsłudze systemu plików ZFS może być wywołana przez nieprawidłowe metadane na dysku. Problem może prowadzić do nieprawidłowej alokacji pamięci, a następnie dostępu do pamięci poza zakresem, co może skutkować awarią lub wykonaniem dowolnego kodu podczas procesu bootowania.

Dell iDRAC9 w wersjach 14G przed 7.00.00.182 oraz 15G/16G przed 7.20.30.50 zawiera podatność związaną z niewłaściwą kontrolą dostępu. Nieuwierzytelniony atakujący z dostępem zdalnym może uzyskać dostęp do nieautoryzowanych danych.

libjpeg-turbo 3.2.0 zawiera podatność na dzielenie przez zero w loaderze PNG. Podczas przetwarzania prawidłowego obrazu PNG z indeksowanymi kolorami i nie-szarą paletą przez tj3LoadImage12() lub tj3LoadImage16() z domyślnym formatem pikseli, aplikacja może wywołać dzielenie przez zero w alloc_sarray(), powodując SIGFPE i odmowę usługi.

DWSurvey v6.14.0 jest podatny na obejście uwierzytelniania poprzez parametry '/api/dwsurvey/none/' i '/api/dwsurvey/up/**'.

Dell Cloud Disaster Recovery w wersjach 20.2 i wcześniejszych zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w interfejsie REST API. Wysoko uprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę podatność, prowadząc do zdalnego wykonania kodu.

Dell Cloud Disaster Recovery w wersjach 20.2 i wcześniejszych zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego, którą może wykorzystać atakujący z wysokimi uprawnieniami i zdalnym dostępem, prowadząc do wykonania poleceń.

Winter CMS do wersji 1.2.12 zawiera podatność, która pozwala uwierzytelnionym użytkownikom backendu na ujawnienie dowolnych plików czytelnych przez proces PHP poprzez wstrzyknięcie dyrektyw @import do kodu LESS. Podatność wynika z braku bezpiecznego resolwera importów w parserze LESS. Poprawka jest w wersji 1.2.13.

Problem w TokTok qTox v1.18.4 pozwala lokalnemu atakującemu na spowodowanie odmowy usługi poprzez komponent src/persistence/serialize.cpp.

Fleet przed wersją 4.87.0 zawiera podatność w punkcie końcowym wyszukiwania celów (POST /api/latest/fleet/targets), która zwraca niezmaskowane sekrety rejestracji zespołów i pełną konfigurację zespołu, w tym opcje agentów z poświadczeniami, użytkownikom o niskich uprawnieniach (Observer, Observer+, Technician). Poprawka jest w wersji 4.87.0.

Fleet przed wersją 4.85.0 zawiera podatność w punkcie końcowym odczytu globalnych polityk (GET /api/latest/fleet/policies/{policy_id}), która nie weryfikuje przynależności polityki do zespołu. Uwierzytelniony użytkownik z dostępem obserwatora do dowolnego zespołu może odczytać szczegóły polityk innych zespołów, omijając izolację zespołów. Poprawka jest w wersji 4.85.0.

Podatność na przechodzenie po ścieżkach (path traversal) w polu hasła w UnPoller 2.33.0 pozwala na dowolny odczyt plików i eksfiltrację danych przez sieć.

Podatność przewidywalnych nazw zasobów w BigQuery Import Staging w Google Cloud Vertex AI Search for Commerce przed 2026-04-27 pozwala atakującemu znającemu numer projektu ofiary na uzyskanie dostępu do danych etapowanych i logów błędów przy użyciu przewidywalnych nazw bucketów.

Podatność na dowolne przesyłanie plików w komponencie /v1/my_drive/batch_upload w cohere North AI v1.1.5 pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku.

W Cohere North AI v1.1.5 odkryto wyciek informacji przez punkt końcowy WebSocket.

W Cohere North AI v1.1.5 odkryto nadmiernie permisywną politykę cross-domain z niezaufanymi domenami. Dzieje się tak, ponieważ serwer nie weryfikuje nagłówka Origin w przychodzących żądaniach.

Nieprawidłowa kontrola dostępu w Cohere North AI v1.1.5 pozwala atakującym na dowolne nadpisywanie informacji o użytkowniku poprzez spreparowane żądanie do punktu końcowego /api/internal/v1/users/{{USER_ID}}.

Wiele urządzeń inteligentnego domu TP-Link Kasa zawiera niewystarczające zabezpieczenia kryptograficzne w lokalnym protokole komunikacyjnym. Atakujący z dostępem do sąsiedniej sieci może przechwytywać, powtarzać lub fałszować lokalnie wymieniane komunikaty sterujące, co może prowadzić do nieautoryzowanego sterowania urządzeniem. Udane wykorzystanie może pozwolić na manipulację stanem operacyjnym urządzenia, powodując nieautoryzowane zmiany stanu, zakłócenia normalnego działania lub warunek odmowy usługi.

whichllm przed wersją 0.5.16 zawiera podatność na wstrzyknięcie kodu w komendach run i snippet, która pozwala zdalnemu atakującemu kontrolującemu repozytorium HuggingFace na osiągnięcie arbitralnego wykonania kodu poprzez spreparowanie złośliwej nazwy pliku GGUF zawierającej cudzysłowy lub inne specjalne znaki. Funkcja generowania skryptów w cli.py interpoluje wartości pochodzące z HuggingFace, w tym nazwy plików wariantów GGUF z pola rfilename z API Hub, bezpośrednio do kodu źródłowego Pythona bez escapowania, co pozwala na wyrwanie się z generowanego literału i wykonanie wstrzykniętego kodu na maszynie użytkownika przed pobraniem modelu.

Winter CMS do wersji 1.2.12 zawiera podatność w widżecie FileUpload formularza backendu, który ufa kontrolowanemu przez atakującego parametrowi file_id podczas rozwiązywania załącznika. Pozwala to uwierzytelnionemu użytkownikowi backendu na odczyt i modyfikację załączników należących do innych użytkowników lub rekordów. Poprawka jest w wersji 1.2.13.