Katalog podatności CVE

W Jastow wykryto podatność na atak typu Cross-Site Scripting (XSS). Jeśli użyto kombinacji konfiguracji pozwalającej na nieuciekane znaki w URL z osadzonym Undertow i Jastow, serwer może być narażony na nieprawidłowe przetwarzanie danych wejściowych.

W 389-ds-base stwierdzono podatność polegającą na użyciu zakodowanego na stałe wektora inicjalizującego (IV) dla szyfrów AES-CBC i 3DES-CBC w backendzie LDBM. Umożliwia to atakującemu z uprzywilejowanym dostępem do systemu plików wykrycie równości tekstu jawnego pomiędzy zaszyfrowanymi wpisami poprzez porównanie bloków ciphertextu.

Endpoint PUT /api/v1/portfolio/holding/:dataSource/:symbol/tags w Ghostfolio nie weryfikuje pola Access.permissions podczas przetwarzania nagłówka Impersonation-Id, co pozwala użytkownikom z dostępem tylko do odczytu na modyfikowanie tagów portfela. Atakujący z ważnymi tokenami tylko do odczytu mogą przypisywać lub usuwać tagi na holdingach ofiary, zakłócając kategoryzację portfela i raporty.

W Django 6.0 przed 6.0.7 i 5.2 przed 5.2.16 wykryto podatność w walidatorze `DomainNameValidator`, który nie blokuje znaków nowej linii w nazwach domen. Jeśli aplikacja używa takich wartości w odpowiedziach HTTP, może dojść do wstrzyknięcia nagłówków, choć samo Django jest chronione przez `HttpResponse`.

W Django 6.0 przed 6.0.7 i 5.2 przed 5.2.16 wykryto podatność w `django.contrib.gis.gdal.GDALRaster`. Podczas konstruowania obiektu z bajtów dochodzi do odczytu poza buforem pamięci, co może ujawnić sąsiednią pamięć lub spowodować degradację usługi przez błąd segmentacji przy dostępie do właściwości `vsi_buffer`.

W 389 Directory Server (389-ds-base) wykryto podatność przepełnienia bufora sterty. Podczas normalizacji wyróżnionej nazwy (DN) zawierającej starsze cytowane wartości kodujące wielowartościowe zagnieżdżone względne wyróżnione nazwy (RDN), serwer może zapisywać dane poza przydzieloną pamięcią sterty podczas sortowania par atrybut-wartość RDN. Nieuwierzytelniony zdalny atakujący może wywołać ten stan, wysyłając operację LDAP, której DN trafia do procedury normalizacji DN, na przykład wyszukiwanie z spreparowaną bazową DN.

W interfejsie zarządzania siecią urządzeń Digi PortServer TS, Digi One SP, Digi One SP IA oraz Digi One IA wykryto podatność na trwałe ataki XSS. Zdalny, uwierzytelniony administrator może wstrzyknąć złośliwy skrypt do pól konfiguracyjnych systemu, który następnie wykonuje się w przeglądarce użytkownika przeglądającego zaatakowane strony.

Podatność umożliwia nieuwierzytelnionemu atakującemu ominięcie mechanizmów uwierzytelniania i uzyskanie dostępu do zastrzeżonych zasobów na urządzeniu.

W sterowniku warstwy translacji flash Dhara (drivers/disk/ftl_dhara.c) w Zephyr v4.4.0 występuje podatność polegająca na dereferencji wskaźnika NULL. Podczas inicjalizacji dysku FTL, w przypadku błędu odczytu flash (np. niepoprawialny ECC), kod błędu jest zapisywany przez wskaźnik err, który może być NULL, co prowadzi do paniki jądra i odmowy usługi.

W Apache Airflow przed wersją 3.3.0, endpointy REST API szczegółów i listy instancji zadań zwracały argumenty wyzwalacza (trigger kwargs) odroczonego zadania bez maskowania. Oznacza to, że jeśli odroczony operator przekazał sekret (np. klucz API dostawcy) do swojego wyzwalacza, każdy uwierzytelniony użytkownik z dostępem do odczytu instancji zadania w zakresie DAG mógł odczytać ten sekret w postaci jawnego tekstu, dopóki zadanie było odroczone.

Przed wersją 3.3.0 Apache Airflow, użytkownik z uprawnieniami do odczytu jednego DAG-a mógł ujawnić kod źródłowy innych DAG-ów znajdujących się w tym samym pliku. Endpoint API `GET /api/v2/dagSources/{dag_id}` oraz odpowiadający mu widok w interfejsie użytkownika zwracały cały plik źródłowy bez maskowania DAG-ów, do których odczytu osoba nie była upoważniona.

Podatność w Apache Airflow ujawniała nadpisania sekretów backendu (zmienne środowiskowe) jako opcje konfiguracji, które nie były maskowane. Uwierzytelniony użytkownik z uprawnieniami do odczytu konfiguracji mógł pobrać jawne dane uwierzytelniające (np. role_id, secret_id) z API konfiguracji.

W Apache Airflow w punkcie końcowym `/ui/dependencies` harmonogramu wykryto błąd, który ujawnia identyfikatory Dagów (Dag IDs) przez pola `dep.source` i `dep.target` w zależnościach wyzwalaczy i sensorów. Uwierzytelniony użytkownik interfejsu z uprawnieniami do odczytu niektórych Dagów może wyliczyć identyfikatory innych Dagów, do których nie ma dostępu. Jest to pozostałość po poprawce CVE-2026-28563, która filtrowała tylko klucz najwyższego poziomu, ale nie objęła pól źródła i celu zależności.

Podatność w API Bulk Variables Apache Airflow powoduje, że redaktor nie otrzymuje klucza zmiennej, przez co kontrola `should_hide_value_for_key` (aktywowana dla nazw kluczy z sufiksami `_password`, `_token`, `_secret`) nie działa dla wartości zmiennych w formacie JSON. Uwierzytelniony użytkownik z uprawnieniami do odczytu zmiennych może uzyskać jawne wartości z JSON-owych zmiennych, których klucz normalnie wywołałby ukrycie.

Podatność w PcVue przed wersją 17.0.0 wynika z użycia zbyt słabego algorytmu szyfrowania do ochrony konfiguracji kont użytkowników wbudowanego katalogu. Lokalny atakujący może zmodyfikować istniejącą konfigurację i uzyskać uprzywilejowany dostęp do aplikacji.

W projekcie PcVue w wersjach przed 17.0.0 poświadczenia wbudowanych użytkowników są przechowywane w niebezpieczny sposób w katalogu User. Lokalny atakujący może odczytać te poświadczenia. Konta Active Directory nie są podatne na tę lukę.

Podatność w oprogramowaniu układowym EEPROM na Raspberry Pi 5 i Compute Module 5 powoduje generowanie nielosowych wartości KASLR i ziarna RNG. Skutkuje to stałymi adresami jądra między restartami i urządzeniami, co może ułatwić wykorzystanie innych podatności. Dodatkowo, niska jakość ziarna RNG może wpływać na jakość liczb losowych lub opóźniać uruchamianie systemu podczas gromadzenia wystarczającej entropii z innych źródeł.

W systemie kontroli dostępu (GKS) firmy Armiya Information Technologies Ltd. Co. przed wersją 2 wykryto podatność na odbity atak XSS. Luka wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej.

W systemie kontroli dostępu (GKS) firmy Armiya Information Technologies Ltd. Co. przed wersją 2 występuje podatność na trwałe XSS (Cross-Site Scripting). Luka wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej.

Podatność XSS w systemie kontroli dostępu (GKS) firmy Armiya pozwala atakującemu na wstrzyknięcie złośliwych skryptów poprzez atrybuty HTML. Problem występuje w wersjach przed 2.0.