Katalog podatności CVE

Podatność w bibliotece libheif używanej przez sharp (którą Next.js używa do optymalizacji obrazów) może prowadzić do zdalnego wykonania kodu podczas optymalizacji plików AVIF. Do czasu rozpowszechnienia poprawki optymalizacja plików AVIF jest wyłączona.

Nodemailer rozwiązuje międzynarodowe (IDN / nie-ASCII) domeny odbiorcy na inny etykietę Punycode (xn--) niż standardowe parsery zgodne z UTS-46 (np. przeglądarki, URL Standard, Node's url.domainToASCII, Python's idna). Jego normalizator adresów _normalizeAddress może prowadzić do błędnego rozpoznania domeny, co może być wykorzystane do ataków typu phishing lub przejęcia wiadomości.

Brak szczegółowego opisu podatności CVE-2026-87866. Dostępny jest jedynie identyfikator CVE, bez informacji o podatnym komponencie, mechanizmie działania ani warunkach eksploatacji.

Włączenie opcji CURLOPT_CRLF powoduje, że curl podaje w literale IMAP APPEND {N} surową liczbę bajtów wejściowych, jednocześnie przesyłając dane z rozwiniętymi końcami linii. Serwer odczytuje tylko N bajtów ładunku, co powoduje, że pozostałe nadmiarowe bajty są interpretowane i wykonywane jako potokowe polecenia IMAP.

Zaimportowanie nadrzędnego wpisu HSTS z includeSubDomains przed wpisem podrzędnym o dłuższym czasie ważności powoduje ciche odrzucenie wpisu podrzędnego. W rezultacie, gdy wpis nadrzędny wygaśnie, ważna polityka HSTS wpisu podrzędnego zostaje utracona, powodując wysyłanie przez curl niezaszyfrowanych żądań HTTP zamiast aktualizacji do HTTPS.

Serwer proxy HTTP może nakłonić libcurl do wysłania poświadczeń serwera docelowego (hasła Basic lub biletu Negotiate/Kerberos) do samego proxy, odpowiadając na żądanie tunelu CONNECT kodem 401 WWW-Authenticate zamiast oczekiwanego 407 Proxy-Authenticate.

Ustawienie opcji CURLOPT_AWS_SIGV4 na NULL nie wyłącza uwierzytelniania SigV4, wbrew oczekiwaniom i dokumentacji. Kolejne żądanie wykonane na tym samym uchwycie nadal wysyła nagłówek Authorization: AWS4-HMAC-SHA256 do dowolnego adresu URL ustawionego później, ujawniając informacje o stanie.

Maszyna stanów TFTP w libcurl nie weryfikuje przejść stanów względem żądanego kierunku transferu, akceptując odpowiedzi otwarcia serwera zarówno dla odczytu, jak i zapisu zamiennie. Złośliwy serwer TFTP może odpowiedzieć na żądanie pobrania w sposób wymuszający na kliencie tryb transmisji.

Opcje disableFileAccess i disableUrlAccess w Nodemailer służą jako piaskownica uniemożliwiająca niezaufanej treści wiadomości czytanie lokalnych plików lub wykonywanie żądań HTTP(S). Poprawka dla wcześniejszej podatności (GHSA-wqvq-jvpq-h66f) może być niekompletna, umożliwiając obejście zabezpieczeń.

Złośliwy serwer MySQL (lub atak typu man-in-the-middle) może wymusić na mysql2 wysłanie poświadczeń w postaci jawnego tekstu, żądając przełączenia uwierzytelniania na mysql_clear_password. Sterownik spełnia żądanie bez weryfikacji, czy połączenie korzysta z TLS.

Parser adresów e-mail w Nodemailer (lib/addressparser/index.js) przetwarza listę adresów oddzielonych przecinkami w czasie kwadratowym (O(n²)) w zależności od liczby adresów. Pojedynczy spreparowany ciąg adresów (np. w polach To, Cc, Bcc, From, Reply-To) może spowodować znaczne spowolnienie.

Parser adresów e-mail w Nodemailer traktuje komentarz RFC 5322 (w nawiasach) w domenie jako miejsce łączenia tekstu, zamiast jako białe znaki składane (CFWS), które kończą domenę. To może prowadzić do błędnego parsowania adresu, np. [email protected](x)evil.c..., umożliwiając atakującemu przekierowanie wiadomości lub obejście walidacji.

Biblioteka gorilla/websocket używała generatora liczb pseudolosowych math/rand (kryptograficznie słabego) do generowania kluczy maskowania ramek WebSocket. Klucze muszą być nieprzewidywalne, aby zapobiec wstrzykiwaniu treści do ramek.

W jądrze Linuxa rozwiązano podatność, która mogła prowadzić do dereferencji wskaźnika NULL w przypadku niepowodzenia alokacji pamięci. Wprowadzono dodatkowe sprawdzenie, aby zapobiec temu problemowi.

W sterowniku systemu plików ntfs.ko w jądrze Linux 4.15.0 występuje podatność, która pozwala atakującym na wywołanie zapisu poza granicami stosu, co może prowadzić do awarii systemu (kernel oops lub panic) lub innych nieokreślonych skutków poprzez spreparowany system plików ntfs.

W programie vim do wersji 9.1.1096 zidentyfikowano podatność, która może prowadzić do uszkodzenia pamięci. Problem dotyczy nieznanego kodu w pliku src/main.c, a manipulacja argumentem --log może być wykorzystana do ataku lokalnego.

W jądrze systemu Linux odkryto podatność typu przepełnienie bufora w sterowniku NVM Express (NVMe). Użytkownik z uprawnieniami może określić mały bufor meta, co pozwala urządzeniu na wykonanie większego dostępu do pamięci (DMA) do tego samego bufora, co prowadzi do nadpisania niezwiązanej pamięci jądra i losowych awarii jądra.

Middleware `basicAuth` i `bearerAuth` używały porównania, które nie było w pełni bezpieczne pod względem czasu. Funkcja `timingSafeEqual` stosowała normalne porównanie stringów (`===`), co mogło prowadzić do wcześniejszego zakończenia porównania, jeśli wartości się różniły.

Nazwy ciasteczek nie są walidowane podczas zapisu, gdy używane są funkcje `setCookie()`, `serialize()` lub `serializeSigned()` do generowania nagłówków Set-Cookie. Chociaż niektóre atrybuty ciasteczek, takie jak domena i ścieżka, są walidowane, sama nazwa ciasteczka może zawierać nieprawidłowe znaki.

Hono to framework aplikacji webowej, który wspiera dowolne środowisko JavaScript. W wersjach przed 4.12.16 funkcja bodyLimit() nie egzekwuje skutecznie maksymalnego rozmiaru dla żądań bez użytecznego nagłówka Content-Length, co pozwala na przesyłanie zbyt dużych żądań.