Katalog podatności CVE

Hono to framework aplikacji webowych, który wspiera dowolne środowisko uruchomieniowe JavaScript. W wersjach przed 4.11.7, Middleware Cache zawiera podatność na ujawnienie informacji spowodowaną niewłaściwym przetwarzaniem dyrektyw kontroli pamięci podręcznej HTTP.

Wykryto krytyczną podatność w GNU Binutils 2.43, dotyczącą funkcji bfd_elf_reloc_symbol_deleted_p w pliku bfd/elflink.c komponentu ld. Manipulacja tą funkcją prowadzi do uszkodzenia pamięci.

Cairo w wersjach do 1.15.14 ma problem z zapisem pamięci stosu poza przydzielonym zakresem podczas przetwarzania spreparowanego dokumentu przez WebKitGTK+. Problem ten wynika z interakcji między funkcjami generate i render_rows w pliku cairo-rectangular-scan-converter.c oraz funkcją _cairo_image_spans_and_zero w pliku cairo-image-compositor.c.

Hono to framework aplikacji webowych, który wspiera dowolne środowisko uruchomieniowe JavaScript. W wersjach przed 4.11.7, Middleware Restrykcji IP w Hono jest podatny na obejście walidacji adresu IP.

Next.js to framework React do budowania aplikacji webowych typu full-stack. W wersjach od 14.2.0 do przed 15.5.16 oraz 16.2.5, aplikacje korzystające z komponentów serwera React mogą być podatne na zanieczyszczenie pamięci podręcznej, gdy współdzielone pamięci podręczne nieprawidłowo dzielą warianty odpowiedzi.

Podatność CVE-2026-5763 dotyczy niezgodności rozmiaru żądania w virtio-scsi, co może prowadzić do nieprawidłowego przetwarzania danych. Może to skutkować błędami w komunikacji między urządzeniami wirtualnymi a hostem.

Wykryto krytyczną podatność w GNU elfutils 0.192, dotyczącą funkcji dump_data_section/print_string_section w pliku readelf.c komponentu eu-readelf. Manipulacja argumentem z/x prowadzi do przepełnienia bufora.

Podatność CVE-2025-15284 dotyczy niewłaściwej walidacji danych wejściowych w module qs, co może prowadzić do ataków DoS przez HTTP. Problem ten występuje w wersjach qs poniżej 6.14.1.

W jądrze systemu Linux zidentyfikowano podatność związaną z wyciekiem firmware'u w przypadku błędu. Problem występuje w funkcji download_firmware(), gdzie nie zwalniane są zasoby, gdy zawartość firmware'u jest nieprawidłowa.

W bibliotece GNU C (glibc lub libc6) do wersji 2.29 występuje niekontrolowana rekurencja w funkcji check_dst_limits_calc_pos_1 w pliku posix/regexec.c, co zostało zademonstrowane przez wyrażenie '(|)(\1\1)*' w narzędziu grep. Utrzymujący oprogramowanie kwestionują, czy jest to rzeczywiście podatność.

Hono to framework aplikacji webowych, który wspiera dowolne środowisko uruchomieniowe JavaScript. W wersjach przed 4.12.16, niewłaściwe przetwarzanie nazw tagów elementów JSX w hono/jsx pozwalało na bezpośrednie wstawianie niezweryfikowanych nazw tagów do generowanego kodu HTML.

W wersjach przed 7.0.5 występuje podatność typu Denial of Service (DoS) spowodowana wyczerpaniem CPU podczas serializacji specjalnie przygotowanego obiektu przypominającego tablicę. Problem ten dotyczy obiektów, które dziedziczą po Array.prototype.

Wykryto podatność w GNU elfutils 0.192, która dotyczy funkcji handle_dynamic_symtab w pliku readelf.c komponentu eu-read. Manipulacja prowadzi do dereferencji wskaźnika null.

W niektórych procesorach AMD występuje podatność na wykonanie przejściowe, która może umożliwić atakującemu wnioskowanie danych w pamięci podręcznej L1D, co potencjalnie prowadzi do wycieku wrażliwych informacji przez granice uprawnień.

Nieprawidłowe przetwarzanie nazw atrybutów JSX w hono/jsx pozwala na uszkodzenie generowanego wyjścia HTML przez źle sformułowane klucze atrybutów. W przypadku użycia nieufnych danych jako kluczy atrybutów podczas renderowania po stronie serwera, specjalnie przygotowane klucze mogą przełamać granice atrybutów lub tagów i wstrzyknąć niezamierzone dane.

W jądrze systemu Linux zidentyfikowano podatność, która została rozwiązana. Dotyczy ona funkcji io_uring/rw, gdzie w przypadku niepowodzenia przy zwalnianiu pamięci dla iovec, może dojść do pozostawienia nieprzypisanego wskaźnika iovec.

Next.js to framework React do budowania aplikacji webowych typu full-stack. Aplikacje korzystające z App Router w wersjach od 13.4.0 do przed 15.5.16 oraz 16.2.5 mogą być podatne na przechowywane ataki cross-site scripting (XSS) przy użyciu nonce'ów CSP, gdy są wdrażane za pośrednictwem wspólnych pamięci podręcznych.

W jądrze Linuxa rozwiązano podatność, która pozwalała na wyścig między policy_hthresh.work a procesem usuwania przestrzeni nazw sieciowych. Żądanie XFRM_MSG_NEWSPDINFO mogło umieścić element roboczy policy_hthresh.work w kolejce systemowej.

W jądrze systemu Linux zidentyfikowano podatność w systemie plików f2fs, która dotyczy braku weryfikacji poprawności nagłówka w operacjach odczytu i zapisu. Problem ten może prowadzić do błędów w przypadku uszkodzenia nagłówka strony węzła, co skutkuje awarią systemu.

W bibliotece libexpat w wersjach przed 2.7.2 istnieje podatność, która pozwala atakującym na wywołanie dużych dynamicznych alokacji pamięci poprzez przesłanie małego dokumentu do analizy. Może to prowadzić do problemów z wydajnością lub awarii aplikacji.