Katalog podatności CVE

W frameworku Anchor, od wersji 1.0.0 do przed 1.0.2, występuje błąd logiczny, który pozwala programom na akceptowanie dowolnego identyfikatora programu zamiast wymaganego identyfikatora systemowego. To prowadzi do fałszywych założeń, co może skutkować potencjalnym arbitralnym wywołaniem CPI w programach, które wywołują instrukcje programu systemowego.

Podatność w claude-code-cache-fix występuje w wersjach od 3.5.0 do przed 3.5.2, gdzie skrypt tools/quota-statusline.sh interpoluje dane wejściowe użytkownika bezpośrednio do literału łańcucha w Pythonie. Wprowadzenie sekwencji bajtów ''' w dowolnym polu kontrolowanym przez użytkownika może zakończyć literał przedwcześnie, co pozwala na wykonanie kolejnych bajtów jako kodu Pythona w procesie Claude Code użytkownika.

W wersjach przed 0.8.7, pam_usb odczytuje zmienną środowiskową $TMUX użytkownika i interpoluje jej wartość bez odpowiedniego oczyszczania, co pozwala na wstrzyknięcie dowolnej składni powłoki. To stwarza ryzyko wykonania nieautoryzowanych poleceń jako root.

pam_usb przed wersją 0.8.7 umożliwia zdalne wykonanie kodu (RCE) z poziomu roota poprzez spreparowany UUID w konfiguracji. Wykonanie polecenia pamusb-conf --reset-pads z takim UUID prowadzi do wykorzystania podatności.

pam_usb przed wersją 0.8.7 jest podatny na ataki symlinkowe, które umożliwiają obejście uwierzytelniania oraz uszkodzenie plików systemowych. Wersja 0.8.7 zawiera poprawkę tej podatności.

pam_usb zapewnia uwierzytelnianie sprzętowe dla systemu Linux przy użyciu zwykłych nośników wymiennych. W wersjach przed 0.8.7, pamusb-pinentry odczytuje zmienną środowiskową PINENTRY_FALLBACK_APP i wykonuje ją bez żadnej walidacji, co pozwala na uruchomienie dowolnego binarnego pliku lub skryptu.

UltraJSON to szybki enkoder i dekoder JSON napisany w czystym C z powiązaniami dla Pythona 3.7+. Przed wersją 5.12.1, gdy ujson.dump() zapisuje do obiektu podobnego do pliku i operacja zapisu zgłasza wyjątek, obiekt ciągu JSON nie jest dekrementowany, co prowadzi do wycieku pamięci.

W WOSDefaultHttpModule.dll występuje podatność na traversję ścieżki, która pojawia się podczas przetwarzania ścieżki URL zaczynającej się od /woshome.

Funkcje wywołujące WOSCommonUtil.dll!WOSSysInfoGetDeviceInterface() w różnych bibliotekach DLL (np. WOSProfileMgrModule.dll, WOSWebDavModule.dll) mogą zwracać wskaźnik NULL, gdy żaden użytkownik nie jest zalogowany do konsoli zarządzania Triofox Server Agent. Wskaźnik NULL nie jest sprawdzany przed jego dereferencją.

Podatność CVE-2026-8359 występuje w przypadku przetwarzania żądania z URL zaczynającym się od /status lub /sysinfo, gdzie próba załadowania modułu WOSHttpStatusModule.dll kończy się niepowodzeniem, ponieważ plik DLL nie jest obecny w instalacji. W efekcie wskaźnik funkcji do WOSBin_LoadHttpModule jest ustawiony na NULL, co prowadzi do wywołania funkcji pod adresem 0.

W wersjach przed 0.9.1 pam_usb, używający sprzętowej autoryzacji w systemie Linux, pomijał sprawdzenie PAM_RHOST, gdy usługa PAM była skonfigurowana z deny_remote=false. To pozwalało na autoryzację zdalnych połączeń XDMCP, co powinno być odrzucane.

W wersjach przed 0.9.0, funkcja pusb_pad_compare() w pam_usb nie wymuszała obecności i czytelności pliku pad na urządzeniu USB, co pozwalało użytkownikom na autoryzację bez fizycznego urządzenia. Użytkownik mógł usunąć swój plik ~/.pamusb/device.pad, co skutkowało pomyślną autoryzacją bez wymaganego urządzenia USB.

RELATE to pakiet kursów internetowych, który przed poprawką d66ba5659b459bf1ba56b7109b5f9ecf197cbefb konfigurował swoje pracowniki Celery do akceptowania i deserializacji nieufnych danych 'pickle'. Atakujący, który ma dostęp do brokera wiadomości, może wykonać dowolne polecenia na serwerze hosta.

Himmelblau to zestaw interoperacyjny dla Microsoft Azure Entra ID i Intune. W wersjach od 2.0.0 do przed 3.1.5 oraz 2.3.11 występowała podatność na obejście uwierzytelniania w przepływie Device Authorization Grant (DAG), która pozwalała użytkownikowi w tej samej domenie Entra ID uzyskać lokalną sesję Unix jako inny użytkownik, używając własnych ważnych poświadczeń.

MapServer, system do tworzenia aplikacji GIS w sieci, ma podatność, która występuje w wersjach od 6.4.0 do przed 8.6.3. Problem polega na tym, że msSLDParseUserStyle zawsze wywołuje _SLDApplyRuleValues, co prowadzi do dereferencji wskaźnika NULL w przypadku reguły bez symbolizera.

Pi.Alert, system wykrywający intruzów w sieciach WiFi/LAN, zawiera podatność na wstrzykiwanie SQL w endpointcie /pialert/php/server/devices.php. Niezautoryzowani użytkownicy mogą wykorzystać parametr scansource w żądaniu z action= getDevicesTotals do wykonania dowolnych zapytań SQL. Luka została załatana w wersji z 2026-05-07.

Biblioteka systeminformation dla Node.js w wersjach od 4.17.0 do 5.31.5 zawiera podatność na wstrzyknięcie poleceń w funkcji networkInterfaces() na systemie Linux. Problem występuje, gdy aktywna nazwa profilu połączenia Network Managera zawiera znaki specjalne powłoki, które nie są odpowiednio sanityzowane przed użyciem w poleceniach powłoki.

RELATE to pakiet kursów internetowych, który w wersjach przed commit 555f0efb1c5bd7531c07cd73724d7e566a81f620 ma podatność na przechowywane ataki typu cross-site scripting. Umożliwia to każdemu zapisanym studentowi wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora, co może prowadzić do przejęcia pełnego konta administratora.

GitLab naprawił problem w GitLab EE, który dotyczy wszystkich wersji od 18.8 przed 18.10.7, 18.11 przed 18.11.4 oraz 19.0 przed 19.0.1. W określonych warunkach, uwierzytelniony użytkownik mógł spowodować uruchomienie określonych procesów Duo AI pod tożsamością innego użytkownika z powodu niewłaściwego rozpoznawania tożsamości użytkownika.

Kysely to typowo bezpieczny budowniczy zapytań SQL w TypeScript. W wersjach od 0.26.0 do 0.28.16, metoda DefaultQueryCompiler.visitJSONPathLeg nie ucieka metaznaków JSON-path, co pozwala atakującemu na nieautoryzowany dostęp do pól JSON, które nie miały być ujawnione.