Katalog podatności CVE

MsQuic przed wersjami 2.4.20, 2.5.11 i 2.6.1 zawiera podatność polegającą na nieprawidłowej weryfikacji, czy certyfikat serwera pasuje do docelowej nazwy hosta, gdy używany jest backend TLS OpenSSL lub QuicTLS. Atakujący w ścieżce sieciowej może przedstawić certyfikat niezgodny z docelową nazwą hosta i podszyć się pod serwer w ataku man-in-the-middle. Backend Schannel nie jest dotknięty.

Microsoft UFO przed wersją 3.0.9 zawiera podatność na wstrzyknięcie poleceń w narzędziu press_key w pliku ufo/client/mcp/http_servers/mobile_mcp_server.py. Parametr key_code jest przekazywany do `adb shell input keyevent`, a klient adb łączy argumenty w ciąg poleceń, co pozwala uwierzytelnionemu wywołującemu Mobile MCP na wykonanie dodatkowych poleceń jako użytkownik powłoki Android na autoryzowanym podłączonym urządzeniu. Wymaga to ważnego klucza UFO_MCP_API_KEY, adb na hoście i dostępnego autoryzowanego urządzenia.

W Microsoft UFO przed wersją 3.0.9, endpoint /api/task_result/{task_name} wywołuje SessionManager.get_result_by_task() w pliku ufo/server/services/session_manager.py, który pozyskuje nieodnawialny lock i ponownie go próbuje, gdy nazwa zadania mapuje się na sesję. Uwierzytelniony atakujący może zablokować żądanie na czas nieokreślony, a w domyślnej konfiguracji jednego procesu zablokowany wątek uniemożliwia obsługę innych żądań HTTP, WebSocket i zależnych działań.

Narzędzie run_shell w komponencie CommandLineExecutor w Microsoft UFO przed wersją 3.0.9 waliduje tylko pierwszy token parametru bash_command i zezwala na explorer.exe. W systemie Windows explorer.exe przekazuje kolejny argument ścieżki do ShellExecute, co pozwala na uruchomienie dowolnego pliku wykonywalnego lub skryptu jako użytkownik pulpitu, mimo że podproces używa shell=False.

HortusFox przed wersją 6.2 zawiera podatność na zdalne wykonanie kodu w metodzie ThemeModule::startImport(), gdzie przesłane archiwum ZIP jest rozpakowywane bezpośrednio do publicznego katalogu głównego serwera WWW przed jakąkolwiek walidacją nazw plików, rozszerzeń lub zawartości. Uwierzytelniony administrator może przesłać spreparowane archiwum motywu zawierające plik PHP i plik .htaccess, aby ponownie włączyć wykonywanie, a następnie zażądać go w katalogu motywów, co pozwala na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW.

W ESET PROTECT On-Prem wykryto podatność polegającą na nieograniczonym przydzielaniu zasobów, co prowadzi do zwiększonego zużycia CPU i RAM oraz może skutkować atakiem typu Denial-of-Service.

Progress Software Autonomous REST Connector GenAI Agents ARCGenAI-Generator w wersji 2.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w instrukcjach czyszczenia plików tymczasowych opartych na powłoce. Atakujący, który dostarczy spreparowany dokument Swagger/OpenAPI, może wykonać dowolne polecenia na komputerze dewelopera, gdy użytkownik uruchomi generator.

W Django 6.1 przed 6.1.2, 6.0 przed 6.0.9 i 5.2 przed 5.2.18, funkcja django.forms.models.BaseModelFormSet.save_existing_objects() używa obecności klucza głównego na instancji formularza jako dowodu przynależności do queryset. Obiekt spoza queryset może zostać usunięty przez uwierzytelnionego użytkownika bez uprawnień do tego obiektu, poprzez sfałszowane dane formularza. Modele z domyślnym AutoField nie są dotknięte.

W Django 6.1 przed 6.1.2, 6.0 przed 6.0.9 i 5.2 przed 5.2.18, niekompletna poprawka dla CVE-2026-15307 w przestrzennych zapytaniach (spatial lookups) pozwala atakującemu, który może dostarczyć wartości bytes, na spowodowanie, że proces Django wykona żądania sieciowe poprzez spreparowany dokument VRT odwołujący się do zewnętrznego źródła rastrowego.

Podatność typu wstrzyknięcie poleceń systemu operacyjnego (OS command injection) w produkcie SambaBox firmy Felisify Information Technologies Industry and Trade Inc. pozwala na wykonanie dowolnych poleceń systemowych. Problem dotyczy SambaBox w wersjach przed 5.4.1.

W Django 6.1 przed 6.1.2, 6.0 przed 6.0.9 i 5.2 przed 5.2.18, funkcja django.utils.http.parse_header_parameters() jest podatna na atak DoS z powodu kwadratowej złożoności czasowej podczas parsowania wartości z wieloma separatorami w cytowanym parametrze. Nieuwierzytelnione żądanie może dotrzeć do tego parsowania przez nagłówki takie jak Accept lub Content-Type.

W produkcie Expert Mail firmy Pusula Communication, IT, and Internet Industry and Trade Co. Ltd. wykryto podatność polegającą na niewłaściwej kontroli częstotliwości interakcji, co umożliwia atak brute force. Problem dotyczy wersji do 2026-09-18.

Oracle VM VirtualBox przed wersją 7.2.8 pozwala użytkownikom systemu gościa na spowodowanie zapisu poza zakresem w systemie hosta w funkcji pcnetReceiveNoSync w DevPCNet.cpp w modelu urządzenia sieciowego PCNet (Am79C970A).

W Django 6.1 przed 6.1.2, 6.0 przed 6.0.9 i 5.2 przed 5.2.18, funkcja django.utils.translation.get_supported_language_variant() jest podatna na atak DoS podczas przetwarzania wielu różnych, bardzo długich kodów językowych, które są przechowywane jako klucze w pamięci podręcznej i zużywają pamięć procesu.

W produkcie Johnson Controls Illustra Standard - L4L China na systemie Windows wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego z powodu niewłaściwej walidacji danych wejściowych. Problem dotyczy wersji przed 6.0.0.66394.

Podatność typu Reflected XSS w pakiecie E-Commerce Pack firmy Akıllı Ticaret Software Technologies Ltd. Co. wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji do 2026-10-06.

Mooncake Store do wersji 0.3.13.post1 zawiera podatność braku autoryzacji, która pozwala nieuwierzytelnionym atakującym wstrzykiwać kompletne repliki LOCAL_DISK przez RPC NotifyOffloadSuccess. Atakujący mogą zamontować segment dysku lokalnego z wybranym przez siebie UUID klienta, a następnie dołączyć repliki wskazujące na kontrolowane przez atakującego punkty końcowe, aby serwować zatrute odczyty warstwy dyskowej i fałszywe istnienie kluczy.

Mooncake Store master do wersji 0.3.13.post1 zawiera podatność braku autoryzacji, która pozwala nieuwierzytelnionym atakującym usunąć replikę dyskową dowolnego obiektu za pomocą EvictDiskReplica i BatchEvictDiskReplica. Atakujący mogący połączyć się z portem coro_rpc master mogą usuwać repliki DISK we wszystkich dzierżawach, usuwając obiekty, których jedyna pozostała replika znajduje się na dysku.

Mooncake Store do wersji 0.3.13.post1 zawiera podatność braku autoryzacji, która pozwala nieuwierzytelnionym atakującym tworzyć, kraść i fałszywie kończyć zadania replikacji przez port coro_rpc. Atakujący mogą wywoływać CreateCopyTask, CreateMoveTask, FetchTasks i MarkTaskToComplete z UUID klientów ofiar ujawnionymi przez QueryTask, aby przejąć kolejki zadań i rejestrować replikację, która nigdy nie miała miejsca.

Mooncake Store master do wersji 0.3.13.post1 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym wymusić usunięcie dowolnego obiektu za pomocą Remove, RemoveByRegex, RemoveAll i BatchRemove na porcie coro_rpc. Atakujący mogą wysyłać sfałszowane żądania z ustawioną flagą force, aby ominąć kontrole dzierżawy, usuwać klucze pasujące do dowolnego wyrażenia regularnego lub wyczyścić cały magazyn, powodując utratę pamięci podręcznej i błędy żądań.