Katalog podatności CVE

W GNU Wget do wersji 1.25.0 włącznie, w funkcji parse_content_range() w pliku src/http.c, występuje podatność na przepełnienie liczby całkowitej. Atakujący może dostarczyć złośliwe wartości nagłówka Content-Range, powodując przepełnienie arytmetyki liczb całkowitych ze znakiem, co prowadzi do niezdefiniowanego zachowania i desynchronizacji pobierania.

W narzędziu DataEase przed wersją 2.10.24, komponenty tekstowe dashboardu renderują przechowywaną treść za pomocą Vue v-html bez sanitacji HTML po stronie serwera. Umożliwia to uwierzytelnionemu użytkownikowi, który może edytować dane komponentów dashboardu, wstrzyknięcie HTML z wykonywalnymi procedurami obsługi zdarzeń, które uruchamiają się, gdy inny użytkownik lub gość z linkiem udostępnionym wyświetli dashboard.

W Coder od wersji 2.33.0 do 2.33.8 i 2.34.2, obsługa żądań w AI Bridge używa `io.ReadAll` bez ograniczenia rozmiaru, co pozwala uwierzytelnionemu użytkownikowi z dostępem do AI Bridge na wysłanie dowolnie dużego ciała żądania i wyczerpanie pamięci. Podatność prowadzi do odmowy usługi (DoS).

W Chevereto przed wersją 4.5.4, włączenie opcji prywatnego profilu nie blokuje dostępu do listy obrazów użytkownika przez endpoint `/json`. Niezalogowany atakujący, znając ID ofiary, może pobrać wszystkie publiczne obrazy i ujawnić nazwę użytkownika.

Podatność w Cilium pozwala użytkownikom z uprawnieniami do tworzenia CiliumLocalRedirectPolicies na przechwytywanie ruchu do serwisów w dowolnej przestrzeni nazw poprzez określenie dowolnych adresów ClusterIP w polu addressMatcher. Usunięcie takiej polityki może również uszkodzić wewnętrzny stan serwisu Cilium i zatrzymać translację ruchu dla dotkniętego serwisu.

W aplikacji Actual przed wersją 26.6.0, endpoint GET /secret/:name w @actual-app/sync-server nie weryfikuje uprawnień administratora, co pozwala każdemu uwierzytelnionemu użytkownikowi BASIC w trybie OpenID na odczytanie skonfigurowanych sekretów integracji bankowych. Luka została naprawiona w wersji 26.6.0.

W aplikacji Actual (lokalna aplikacja finansowa) przed wersją 26.6.0, w pakiecie @actual-app/cli, funkcja escapeCsv w pliku packages/cli/src/output.ts nie neutralizuje standardowych prefiksów wstrzykiwania formuł CSV. Powoduje to, że dane użytkownika (np. listy transakcji, kont, odbiorców) mogą być interpretowane jako formuły w arkuszach kalkulacyjnych.

NocoBase do wersji 2.1.20 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w wrapperze serverRequest. Umożliwia ona uwierzytelnionym administratorom wysyłanie dowolnych wychodzących żądań HTTP poprzez dostarczenie złośliwych adresów URL do węzłów żądań przepływu pracy, przycisków akcji niestandardowych żądań lub wtyczki AI.

W przełącznikach HPE Networking Instant On 1830, 1930 i 1960 wykryto podatność umożliwiającą nieuwierzytelnionemu zdalnemu atakującemu ujawnienie wrażliwych tajemnic kryptograficznych. Luka może zostać wykorzystana bez konieczności posiadania jakichkolwiek poświadczeń.

Podatność w Coder umożliwia zawieszonym użytkownikom dalsze korzystanie z ważnych kluczy API do czasu ich usunięcia. Mechanizm uwierzytelniania proxy AI Bridge nie sprawdza, czy konto jest zawieszone, co pozwala na nieautoryzowany dostęp.

Podatność w systemie Contao umożliwia nieautoryzowanym użytkownikom wyświetlenie listy modułów w interfejsie frontendowym z powodu nieprawidłowej kontroli dostępu.

Podatność CVE-2026-48955 wynika z nieprawidłowej kontroli dostępu, co umożliwia nieautoryzowanym użytkownikom dostęp do informacji o etapach i przejściach przepływu pracy.

Podatność CVE-2026-48954 wynika z nieprawidłowej walidacji danych w funkcji nadpisywania języka, co umożliwia atakującemu wstrzyknięcie skryptów XSS. Atakujący może wykorzystać ten błąd do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.

Brak odpowiedniego kodowania danych wyjściowych w ogólnym układzie obrazu prowadzi do podatności na ataki XSS (Cross-Site Scripting). Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.

Brak odpowiedniego kodowania danych w widoku listy aktualizacji komponentu com_installer w Joomla! prowadzi do podatności na ataki XSS (Cross-Site Scripting). Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce administratora.

Brak odpowiedniego kodowania danych wyjściowych w układach modalreturn różnych komponentów prowadzi do podatności na ataki XSS (Cross-Site Scripting).

Brak odpowiedniego kodowania danych w widoku zarządzania plikami komponentu com_templates prowadzi do podatności na ataki XSS (Cross-Site Scripting).

Brak walidacji danych wejściowych w widokach zarządzania MFA prowadzi do podatności na ataki XSS (Cross-Site Scripting).

Podatność CVE-2026-48947 wynika z nieprawidłowej kontroli dostępu, która umożliwia uprzywilejowanym użytkownikom nadpisywanie plików multimedialnych bez wymaganych uprawnień do edycji.

W AWS Research and Engineering Studio (RES) wykryto podatność CWE-59 polegającą na nieprawidłowym rozwiązywaniu dowiązań przed dostępem do pliku w API Auth.GetUserPrivateKey. Uwierzytelniony zdalny użytkownik może odczytać dowolne pliki na instancji EC2 cluster-manager, zastępując swój plik klucza SSH (~/.ssh/id_rsa) dowiązaniem symbolicznym wskazującym na dowolny plik na hoście.