Katalog podatności CVE

Auth0.js to biblioteka JavaScript po stronie klienta dla Auth0. W wersjach od 8.11.0 do 9.32.0, w określonych warunkach wstępnych, SDK Auth0.js może niewłaściwie zwracać informacje o profilu użytkownika przy użyciu ważnego tokena dostępu, gdy dostarczony jest specjalnie skonstruowany nieprawidłowy token ID.

Tauri to framework do budowania binariów dla wszystkich głównych platform desktopowych. W wersjach od 2.0 do 2.11.0 występuje błąd w funkcji is_local_url(), który błędnie klasyfikuje zdalne adresy URL jako zaufane lokalne źródła na systemach Windows i Android.

W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/core/class/commonobject.class.php.

W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/cron/class/cronjob.class.php, w funkcji call_user_func_array().

W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/core/actions_addupdatedelete.inc.php.

Craft CMS w wersji 5.9.5 i wcześniejszych zawiera lukę w autoryzacji w punkcie końcowym migracji (/actions/app/migrate).

W podatności CVE-2025-70103 występuje przepełnienie bufora na stercie w bibliotece libjxl w wersji 0.12.0, które może być wywołane przez specjalnie przygotowane obrazy PBM przekazywane do funkcji jxl::extras::DecodeImagePNM w pliku lib/extras/dec/pnm.cc.

IBM Aspera High-Speed Transfer Endpoint w wersjach od 3.7.4 do 4.4.7 Fix Pack 1 oraz IBM Aspera High-Speed Transfer Server w tych samych wersjach są podatne na potencjalny atak typu denial of service w komponencie asperahttpd. Nieautoryzowany użytkownik może spowodować awarię usługi asperahttpd.

Podatność CVE-2026-8179 dotyczy komponentu asperahttpd w IBM Aspera High-Speed Transfer Endpoint oraz IBM Aspera High-Speed Transfer Server w wersjach od 3.7.4 do 4.4.7 Fix Pack 1. Występuje w nim przepełnienie bufora, które może umożliwić uwierzytelnionemu użytkownikowi wykonanie dowolnego kodu na systemie.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.0 może umożliwiać atak typu denial of service z powodu niekontrolowanego zużycia zasobów.

IBM Operations Analytics - Log Analysis oraz IBM SmartCloud Analytics - Log Analysis używają domyślnych haseł z procesu produkcji podczas instalacji, co może umożliwić atakującemu ominięcie uwierzytelnienia.

IBM Controller w wersjach 11.0.1, 11.1.0, 11.1.1 oraz 11.1.2 zawiera twardo zakodowane dane uwierzytelniające, takie jak hasło lub klucz kryptograficzny. Są one wykorzystywane do uwierzytelniania przychodzącego, komunikacji wychodzącej z komponentami zewnętrznymi oraz szyfrowania danych wewnętrznych.

W podatności CVE-2026-48972 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w SeedProd Pro.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy wycieku pamięci w funkcji strp_abort_strp(). Podczas przerywania analizatora strumieni, może on nadal trzymać referencję do częściowo złożonej wiadomości, co prowadzi do wycieku pamięci.

W jądrze Linux wykryto podatność w systemie plików AFS, polegającą na wycieku licznika referencji (refcount) podczas operacji mmap. Problem wynika z częściowego przywrócenia wcześniejszej zmiany, ponieważ wywołanie .mmap_prepare mogło prowadzić do nieprawidłowego zwiększenia licznika referencji w przypadku późniejszego błędu alokacji lub scalania. W oczekiwaniu na pełną implementację obsługi .mmap_prepare, przywrócono poprzednie zachowanie.

W jądrze Linux wykryto podatność w implementacji tuneli seg6 i rpl dla IPv6. Funkcje seg6_input_core() i rpl_input() używają niebezpiecznego wskaźnika dst (NOREF) po wywołaniu ip6_route_input(), co w systemach z PREEMPT_RT może prowadzić do wyścigu i użycia pamięci po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w sterowniku ekranu dotykowego edt-ft5x06. Podczas usuwania komponentu debugowania (debugfs) mogło dojść do odwołania do zwolnionej już pamięci (use-after-free) na buforze raw_buffer. Problem wynikał z usunięcia ręcznego czyszczenia debugfs i polegania na automatycznym mechanizmie rdzenia I2C.

W jądrze Linux wykryto podatność w systemie plików ext4, w funkcji check_xattrs(). Błąd polega na nieprawidłowym sprawdzaniu granic przy odczycie rozszerzonych atrybutów (xattr), co może prowadzić do odczytu danych poza dozwolonym obszarem pamięci.

W jądrze Linux wykryto podatność w mechanizmie alokacji pamięci wirtualnej (vmalloc). Funkcja decay_va_pool_node() może być wywoływana jednocześnie z dwóch ścieżek: podczas czyszczenia puli oraz przez shrinker, co prowadzi do wyścigów i potencjalnych wycieków pamięci.

W jądrze Linux w sterowniku ALSA aloop wykryto podatność na użycie po zwolnieniu (UAF) w mechanizmie zmiany formatu. Problem występuje, gdy loopback_check_format() zatrzymuje przechwytywanie, a równoczesne zamknięcie może zwolnić runtime, podczas gdy wątek wyzwalania odtwarzania nadal przechowuje nieaktualny wskaźnik do strumienia.