Katalog podatności CVE

sqlparse przed wersją 0.6.0 ma problem z wydajnością: SQL_REGEX w sqlparse/keywords.py oraz pętla per-position w sqlparse/lexer.py wielokrotnie skanują niedopasowane literały dollar-quoted i ograniczniki komentarzy wieloliniowych, powodując kwadratowe zużycie CPU podczas sqlparse.parse(), sqlparse.format() i sqlparse.split(). Problem naprawiono w wersji 0.6.0.

sqlparse przed wersją 0.6.0 ma problem z wydajnością: konstrukcja TokenList i konwersja na string w sqlparse/sql.py wielokrotnie spłaszcza zagnieżdżone poddrzewa tokenów tworzone przez group_parenthesis i group_case, powodując kwadratowe zużycie CPU podczas sqlparse.parse(), sqlparse.format() i sqlparse.split() zanim limity głębokości i tokenów przerwą przetwarzanie. Problem naprawiono w wersji 0.6.0.

Podatność na upload plików w T-Systems International GmbH ImageMaster w wersji 9.14.2.8.1 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu za pomocą funkcji dodawania załączników w funkcji tworzenia nowego dokumentu.

compliance-trestle przed wersjami 3.12.2 i 4.0.3 ma podatność w argumencie `-o/--output` w `trestle author jinja`, która pozwala na zapisywanie plików poza zamierzonym workspace. Aplikacja nie waliduje poprawnie `../`, `..\` ani ścieżek bezwzględnych, co umożliwia zapis dowolnych plików w lokalizacjach kontrolowanych przez atakującego. Wersje 3.12.3 i 4.0.3 naprawiają problem.

Stirling-PDF przed wersją 2.0.0 ma podatność na przechowywany XSS w workflow Get Info w pliku app/core/src/main/resources/templates/security/get-info-on-pdf.html. Niezaufane metadane Title i Author z PDF są wstawiane do elementu summary-text przez innerHTML, co pozwala złośliwemu PDF na wykonanie skryptu po kliknięciu Get Info i dostęp do danych sesji przeglądarki lub modyfikację zawartości strony. Problem naprawiono w wersji 2.0.0.

Podatność w wywołaniu systemowym flash_copy() w Zephyr RTOS (z włączonym CONFIG_USERSPACE) pozwala nieuprzywilejowanemu wątkowi na przekazanie sfałszowanych wskaźników do struktur urządzeń flash. Brak walidacji obiektów urządzeń (src_dev, dst_dev) przed dereferencją umożliwia wywołanie dowolnego kodu w trybie nadzorcy, co prowadzi do eskalacji uprawnień poza piaskownicę użytkownika.

Glances przed wersją 4.5.6 ma podatność w _sanitize_mustache_dict() w glances/actions.py, która sanityzuje pojedyncze wartości Mustache przed chevron.render(), ale sąsiednie nieucieczone zmienne Mustache mogą zrekonstruować operatory powłoki, które secure_popen() wykonuje, gdy pola procesu lub kontenera kontrolowane przez atakującego są renderowane przez szablon akcji skonfigurowany przez administratora. Problem naprawiono w wersji 4.5.6.

websocket-driver przed wersją 0.8.2 ma podatność w WebSocket::Driver.server(), która przekazuje złośliwy nagłówek Host do URI.parse w lib/websocket/http/request.rb bez łapania wyjątku URI::InvalidURIError, co pozwala zdalnemu klientowi na crash serwera WebSocket opartego na TCP, gdy aplikacja nie łapie błędu z parse(). Problem naprawiono w wersji 0.8.2.

Podatność istnieje w interakcji między narzędziem wsparcia Endpoint Privilege Management (Windows Deployment) a kontrolami tamper protection agenta. W pewnych warunkach ochrona zastosowana do procesu narzędzia może nie być egzekwowana zgodnie z przeznaczeniem.

W JetBrains PyCharm przed wersją 2026.2.1 możliwe było wykonanie kodu przez nieuwierzytelnione narzędzia Jupyter MCP.

W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwe było zdalne wykonanie kodu (RCE) poprzez narzędzie eksportu do Markdown.

W JetBrains YouTrack przed wersją 2026.2.17917 możliwy był nieautoryzowany transfer projektu między organizacjami.

W JetBrains YouTrack przed wersjami 2026.1.13901 i 2026.2.17950 możliwy był atak DoS (odmowa usługi) poprzez spreparowane parametry typów.

W JetBrains YouTrack przed wersją 2026.2.18068 występował przechowywany XSS (cross-site scripting) przez etykietę języka w blokach kodu fenced.

W JetBrains YouTrack przed wersjami 2025.3.156085, 2026.1.13914 i 2026.2.18095 brak autoryzacji pozwalał uwierzytelnionemu użytkownikowi na usuwanie dowolnych encji przez endpoint skrzynki mailowej.

W PostCSS przed wersją 8.5.18 funkcja loadMap() w lib/previous-map.js przekazuje kontrolowane przez atakującego wartości sourceMappingURL do join(dirname(opts.from), annotation), a loadFile() pozwala na ścieżki .map z traversalem lub absolutne, co umożliwia ujawnienie sourcesContent z dowolnych osiągalnych plików .map przez result.map, gdy przetwarzany jest niezaufany CSS bez opcji map: false.

W New API przed wersją 1.0.0-rc.11, endpointy POST /api/stripe/webhook, POST /api/creem/webhook i POST /api/waffo/webhook czytają i logują pełne treści żądań przed weryfikacją podpisu, co pozwala nieuwierzytelnionemu atakującemu na wywołanie presji na pamięć, restarty kontenerów lub wyczerpanie dysku bez sfałszowania płatności.

W komponencie trybu jądra BeyondTrust Endpoint Privilege Management (wdrożenia Windows) przed wersją 26.1.2 występuje podatność na uszkodzenie pamięci z powodu niewystarczającej walidacji danych wejściowych, co może prowadzić do dostępu do pamięci poza zamierzonymi granicami.

W UpTrain w wersji 0.7.1 i wcześniejszych, endpoint /new_run jest podatny na zdalne wykonanie kodu (RCE) przez parametry checks i metadata. Każdy użytkownik z dostępem do UpTrain i ważną metodą uwierzytelniania może wykonać dowolny kod w kontekście hosta, na którym działa UpTrain, co w większości przypadków będzie kontenerem docker.

W UpTrain w wersji 0.7.1 i wcześniejszych, endpoint /add_prompts jest podatny na zdalne wykonanie kodu (RCE) przez parametry checks i metadata. Każdy użytkownik z dostępem do UpTrain i ważną metodą uwierzytelniania może wykonać dowolny kod w kontekście hosta, na którym działa UpTrain, co w większości przypadków będzie kontenerem docker.