Katalog podatności CVE

Biblioteka iskorotkov/avro dla Go przed wersją 2.33.0 zawiera podatność na zdalną odmowę usługi (DoS). Dekodery bloków Avro nie sprawdzają stanu błędu czytnika w pętli przetwarzającej bloki danych, co pozwala atakującemu na wysłanie pakietu z ogromną liczbą elementów, powodując niekończącą się pętlę i wyczerpanie zasobów CPU.

Biblioteka Go Avro (iskorotkov/avro) przed wersją 2.33.0 zawiera wiele podatności w dekoderach Avro. Atakujący może przesłać kontrolowane wartości 64-bitowe, które na platformach 32-bitowych (GOARCH=386, arm, mips, wasm) powodują pominięcie sprawdzania granic, wybór niewłaściwej gałęzi unii lub panic przy OCF. Ponadto, na wszystkich platformach występują przepełnienia arytmetyczne sumy rozmiarów w dekoderach tablic/map, negacja math.MinInt w nagłówkach bloków oraz make([]byte, size) z ujemnym rozmiarem w blokach OCF – wszystkie prowadzą do panic lub pominięcia limitów alokacji.

Podatność use-after-free/double-free w parserze NDR RDPEAR w FreeRDP przed wersją 3.26.0. Złośliwy serwer może wykorzystać ponowne użycie identyfikatora ref-id dla wielu pól wskaźników, powodując podwójne zwolnienie pamięci.

W FreeRDP przed wersją 3.26.0 złośliwy serwer RDP może wywołać zapis poza zakresem sterty (heap-buffer-overflow) w kliencie FreeRDP poprzez wysłanie spreparowanych PDU RDPGFX. Błąd znajduje się w funkcji gdi_CacheToSurface: waliduje ona docelowy prostokąt przycięty do UINT16_MAX, ale kopiowanie wykonuje z użyciem oryginalnych wartości cacheEntry->width/height, co może prowadzić do dużego zapisu poza zakresem sterty i potencjalnie do wykonania kodu.

W FreeRDP, przed wersją 3.26.0, złośliwy klient RDP może wywołać przepełnienie bufora sterty (heap-buffer-overflow) w kanale schowka (cliprdr) po stronie serwera. Dzieje się to poprzez wysłanie PDU CB_CLIP_CAPS z zbyt małym polem capabilitySetLength. Może to doprowadzić do awarii serwera (DoS) i potencjalnie do wykonania kodu.

FastGPT, platforma do budowania agentów AI, przed wersją 4.15.0-beta1 zawiera podatność SSRF (Server-Side Request Forgery). Uwierzytelniony atakujący może ominąć globalną ochronę sieci isInternalAddress i wykonywać dowolne żądania HTTP GET do wewnętrznych usług sieciowych, wykorzystując niekompletną poprawkę w punkcie końcowym podglądu zestawu danych /api/core/dataset/file/getPreviewChunks przy użyciu typu importu danych externalFile.

W JetBrains TeamCity przed wersją 2026.1 nieprawidłowe sprawdzanie uprawnień ujawnia parametry konfiguracji kompilacji. Użytkownicy bez odpowiednich uprawnień mogą uzyskać dostęp do wrażliwych ustawień.

JetBrains TeamCity przed wersją 2026.1 zawiera podatność umożliwiającą zdalne wykonanie kodu poprzez ustawienia połączenia Perforce. Atakujący może wykorzystać tę podatność do uruchomienia dowolnego kodu na serwerze TeamCity.

W JetBrains TeamCity przed wersjami 2026.1 i 2025.11.5 możliwe jest nieuwierzytelnione fałszerstwo żądania po stronie serwera (SSRF) poprzez status budowania.

W JetBrains TeamCity przed wersją 2026.1.1 występuje podatność na odbity XSS (Cross-Site Scripting) w filtrze słów kluczowych. Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce ofiary.

JetBrains YouTrack przed wersją 2026.1.13162 umożliwia przechowywany atak XSS w szablonach powiadomień projektowych.

W JetBrains IntelliJ IDEA przed wersją 2026.1.1 możliwe było wykonanie poleceń przez konto użytkownika gościa.

W środowisku JetBrains IntelliJ IDEA przed wersją 2026.1.1 wykryto podatność umożliwiającą wstrzyknięcie poleceń poprzez uzupełnianie nazw plików.

Shopper, panel administracyjny e-commerce typu Headless, przed wersją 2.8.0 zawiera podatność polegającą na tym, że wiele akcji Filament w szczegółach zamówienia i tabeli wysyłek może być wywoływanych przez uwierzytelnionego użytkownika o niskich uprawnieniach bez wymaganych uprawnień do modyfikacji zamówień. Akcje takie jak anulowanie, oznaczenie jako zapłacone, ukończone, przechwycenie płatności, archiwizacja i rozpoczęcie przetwarzania były dostępne z uprawnieniami tylko do odczytu read_orders, a nie wymaganymi edit_orders. Funkcja capturePayment mogła faktycznie przechwycić środki w systemie płatności. Użytkownik z dostępem tylko do odczytu mógł zmieniać cykl życia każdego zamówienia i inicjować rzeczywiste przechwycenia płatności.

Podatność w SillyTavern przed wersją 1.18.0. Endpoint /api/search/searxng akceptuje kontrolowany przez atakującego parametr baseUrl, co umożliwia wykonywanie żądań do wewnętrznych lub pętli zwrotnej usług HTTP.

SillyTavern przed wersją 1.18.0 używa cookie-session do uwierzytelniania, przechowując dane sesji w podpisanym ciasteczku. Endpointy zmiany hasła nie unieważniają istniejących sesji, co pozwala atakującemu z wykradzionym ciasteczkiem na dalszy dostęp po zmianie hasła.

Urządzenie Danelec MacGregor Voyage Data Recorder zawiera domyślną nazwę użytkownika i hasło, bez wymuszenia zmiany hasła.

Urządzenie Danelec MacGregor Voyage Data Recorder zawiera domyślne konta z zakodowanymi na stałe poświadczeniami.

Podatność XSS (przechowywana) w niektórych urządzeniach NVR serii 1xxx z powodu niedostatecznego oczyszczania danych wejściowych. Atakujący mogą wstrzyknąć złośliwe skrypty, które są trwale przechowywane i wykonywane w przeglądarkach administratorów lub użytkowników.

Urządzenie Frontier X2 umożliwia nieuwierzytelniony odczyt/zapis przez BLE do krytycznych charakterystyk GATT, bez wymagania parowania lub autoryzacji. Atakujący w zasięgu BLE może przejąć kontrolę nad urządzeniem, a aplikacja Frontier X nie weryfikuje tożsamości urządzenia BLE, co pozwala na podszywanie się pod Frontier X2 i wstrzykiwanie fałszywych danych telemetrycznych (np. tętno, oddech).