Katalog podatności CVE

Zed to edytor kodu, w wersjach przed 0.229.0 system uprawnień narzędzia terminala Zed mógł być obejściem poprzez dodanie przypisań zmiennych środowiskowych do dozwolonych poleceń, co pozwalało na przejęcie zachowania programów (np. PAGER) i wykonanie dowolnego kodu. Ta podatność została naprawiona w wersji 0.229.0.

Zed to edytor kodu, który przed wersją 0.227.1 budował zdalne polecenia SSH/WSL jako ciąg polecenia powłoki, zaczynający się od exec env .... Klucze zmiennych środowiskowych są wstawiane bez cytowania lub walidacji, co pozwala na wykonanie dowolnych poleceń na zdalnym hoście.

Biblioteka PyJWT w Pythonie przed wersją 2.13.0 nie weryfikuje użycia kluczy JSON Web Key w algorytmie HMAC, co pozwala atakującemu użyć publicznego klucza wydawcy jako tajnego klucza HMAC.

TinyMCE to otwartoźródłowy edytor tekstu, który przed wersjami 5.11.1, 7.9.3 i 8.5.1 miał podatność na XSS typu stored poprzez sfałszowane komentarze mce:protected. Umożliwia to atakującym obejście sanitizacji i wstrzykiwanie skryptów, które są wykonywane po przywróceniu treści.

TinyMCE to otwartoźródłowy edytor tekstu, który przed wersjami 5.11.1, 7.9.3 i 8.5.1 zawierał podatność na XSS typu stored w wtyczce mediów. Atakujący mogli wstrzykiwać złośliwe skrypty za pomocą odpowiednio skonstruowanych atrybutów data-mce-*, które były wykonywane podczas renderowania treści.

TinyMCE to otwartoźródłowy edytor tekstu, który w wersjach od 6.8.0 do przed 7.1.0 zawiera podatność XSS spowodowaną niewłaściwym zarządzaniem zakresem przestrzeni nazw SVG w sanitizatorze. Odpowiednio skonstruowany ładunek z użyciem zagnieżdżonych elementów może obejść sanitizację atrybutów i wykonać dowolny kod JavaScript.

TinyMCE to otwartoźródłowy edytor tekstu, który przed wersjami 5.11.1, 7.9.3 i 8.5.1 miał podatność na XSS typu stored poprzez niesanitizowane atrybuty data-mce-*. Umożliwia to atakującym wstrzykiwanie złośliwych wartości, które mogą nadpisywać bezpieczne atrybuty podczas serializacji.

Python Liquid to silnik Pythona dla języka szablonów Liquid. W wersjach przed 2.2.0, wbudowane FileSystemLoader i CachingFileSystemLoader nie chroniły przed odczytem plików spoza swoich ścieżek wyszukiwania, gdy podano absolutną ścieżkę do rozwiązania, co umożliwiało złośliwym autorom szablonów ładowanie i renderowanie dowolnych plików.

W wersji 137 i wcześniejszych w esm.sh, no-build CDN dla rozwoju webowego, występuje podatność Local File Inclusion (LFI) w obsłudze pola browser w pliku package.json przez wtyczkę esbuild. Atakujący może opublikować pakiet npm, który spowoduje, że serwer odczyta i zwróci dowolne pliki z systemu plików hosta podczas procesu budowania.

CVE-2026-44593 dotyczy esm.sh, sieci CDN do rozwoju aplikacji webowych, w której starszy router nie sanitizuje komponentów ścieżki przy tworzeniu klucza do przechowywania. To pozwala atakującemu na zapis danych w dowolnej lokalizacji na serwerze.

Espressif Shared GitHub DangerJS to wielokrotnego użytku workflow CI DangerJS dla projektów GitHub Espressif. W wersji przed 1.0.1, skrypt entrypoint.sh wywoływał DangerJS z przestrzeni roboczej wywołującego po skopiowaniu checkoutu fork'a, co tworzyło niezaufaną ścieżkę wyszukiwania dla rozwiązywania binariów i modułów Node.js.

W wersjach CryptX przed 0.088_001 dla Perla występuje przepełnienie bufora stosu w czterech pomocniczych funkcjach AEAD decrypt_verify. Funkcje te kopiują dostarczony przez wywołującego tag autoryzacyjny do stałego bufora stosu o rozmiarze 144 bajtów bez sprawdzania dostarczonej długości.

phpMyFAQ przed wersją 4.1.3 zawiera podatność na nieautoryzowane resetowanie haseł w API aktualizacji haseł użytkowników, co pozwala atakującym na zmianę haseł kont bez walidacji tokenów.

phpMyFAQ w wersjach przed 4.1.3 zawiera lukę w zabezpieczeniach, która umożliwia ominięcie uwierzytelnienia w punkcie resetowania hasła. Umożliwia to nieautoryzowanym atakującym zresetowanie hasła dowolnego konta użytkownika bez weryfikacji tokenu lub potwierdzenia e-mail.

phpMyFAQ przed wersją 4.1.3 zawiera podatność na obejście uwierzytelniania w API v4.0, gdzie domyślny pusty api.apiClientToken pozwala nieautoryzowanym użytkownikom na tworzenie i modyfikowanie wpisów FAQ.

phpMyFAQ przed wersją 4.1.3 zawiera podatność na niebezpieczne bezpośrednie odniesienie do obiektu w punkcie końcowym API do zmiany hasła użytkownika. Umożliwia to uwierzytelnionym administratorom zmianę hasła dowolnego użytkownika bez weryfikacji uprawnień.

W Canonical Multipass przed wersją 1.16.3 odkryto lukę w zabezpieczeniach, która pozwala na obejście ograniczeń ścieżek w funkcji validate_path. Luka ta umożliwia lokalnemu atakującemu z uprawnieniami roota w maszynie wirtualnej na dostęp do plików na systemie plików hosta.

W Canonical Multipass dla macOS przed wersją 1.16.3 odkryto problem związany z niekompletną poprawką dla CVE-2025-5199. Pięć współlokalizowanych binarek w /Library/Application Support/com.canonical.multipass/bin/ zachowuje własność użytkownika instalującego i pozostaje zapisywalnych, co umożliwia lokalnemu atakującemu zastąpienie ich złośliwym kodem.

W SMSGate w wersjach sms-core<=2.1.13.6 występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent Cmpp7FDeliverRequestMessageCodec.java.

Wersja 9.14.0 Responsive File Manager zawiera lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent force_download.php.