Katalog podatności CVE

Strona raportowania HCL BigFix SCM zawiera przestarzałą i nieobsługiwaną wersję biblioteki jQuery 1.x. Brak aktualizacji zabezpieczeń dla tej wersji może narażać aplikację na znane publicznie słabości bezpieczeństwa.

Lokalnie serwisowana strona internetowa na urządzeniach Garmin WDU (w wersjach 1.4.6 i 2.5.0) pozwala na ominięcie mechanizmów uwierzytelniania. Strona WDU wykonuje uwierzytelnienie tylko w przeglądarce klienta, a WebSockety używane do komunikacji z serwerem WDU nie egzekwują żadnego uwierzytelnienia.

Lokalnie serwisowana strona internetowa na urządzeniach Garmin WDU (w wersjach 1.4.6 i 2.5.0) jest podatna na atak symlink. Umożliwia to atakującemu przesłanie złośliwego pakietu graficznego zawierającego symlinki, które serwer WWW śledzi podczas serwowania treści.

Framework Flight dla PHP przed wersją 3.18.1 ma podatność, w której domyślny handler błędów Engine::_error() ujawnia pełne informacje o wyjątkach w odpowiedzi HTTP 500, w tym absolutne ścieżki systemu plików.

Framework Flight dla PHP przed wersją 3.18.1 ma podatność, która pozwala na niekontrolowane honorowanie nagłówka X-HTTP-Method-Override oraz parametru $_REQUEST['_method'] dla dowolnych metod HTTP, w tym bezpiecznych, takich jak GET. To może prowadzić do eskalacji CSRF oraz obejścia zabezpieczeń opartych na niebezpiecznych metodach.

W wersjach przed 3.18.1 frameworka Flight, metody SimplePdo::insert(), SimplePdo::update() i SimplePdo::delete() budują zapytania SQL poprzez bezpośrednie łączenie argumentu $table oraz kluczy tablicy $data, bez odpowiedniego cytowania identyfikatorów i walidacji. To umożliwia atakującym wstrzykiwanie dowolnego SQL poprzez manipulację kluczami tablicy.

Flight to rozszerzalny mikroframework dla PHP. W wersjach przed 3.18.1 metoda Flight::jsonp() łączy parametr zapytania ?jsonp= bez walidacji, co pozwala na wstrzyknięcie dowolnego kodu JavaScript, który zostanie wykonany w kontekście odpowiedzi.

Edytor może nadpisać pulpit nawigacyjny, który nie jest jego własnością, aby uzyskać uprawnienia administratora do tego konkretnego pulpitu. Użytkownik musi mieć dostęp do zapisu, aby podnieść swoje uprawnienia.

Podatność dotyczy funkcji Auth Proxy, która domyślnie używa adresów IPv6 z maską /32. Adresy z explicite określoną maską nie są dotknięte tą podatnością.

W podatności CVE-2026-8466 w ninenines cowboy występuje problem z alokacją zasobów bez limitów, co może prowadzić do odmowy usługi poprzez nieograniczone gromadzenie buforów podczas analizy nagłówków multipart.

Podatność CVE-2026-43970 dotyczy niewłaściwego przetwarzania silnie skompresowanych danych w bibliotece cowlib, co może prowadzić do zdalnego ataku typu denial of service poprzez wyczerpanie pamięci. Umożliwia to nieautoryzowanym użytkownikom wysyłanie odpowiednio skonstruowanych ramek SPDY, które mogą spowodować znaczny wzrost zużycia pamięci.

Podatność w Netty (przed 4.2.13.Final i 4.1.133.Final) w HttpContentDecompressor. Parametr maxAllocation ograniczający rozmiar bufora dekompresji jest poprawnie egzekwowany dla kodowania gzip i deflate, ale jest ignorowany dla br (Brotli), zstd i snappy. Atakujący może ominąć ograniczenie dekompresji, wysyłając skompresowany ładunek z Content-Encoding: br zamiast gzip, co prowadzi do nieograniczonej alokacji pamięci i odmowy usługi (DoS) z powodu braku pamięci. Ta sama podatność istnieje w DelegatingDecompressorFrameListener dla połączeń HTTP/2.

W bibliotece Netty wykryto podatność w komponencie HttpClientCodec, która powoduje nieprawidłowe parowanie odpowiedzi HTTP z żądaniami w przypadku użycia potokowania (pipelining) z żądaniami GET i HEAD. Gdy serwer zwraca odpowiedzi 103 i 200, kolejka paruje odpowiedź HEAD z pierwszą odpowiedzią 200, co prowadzi do błędnego odczytu danych i przesunięcia strumienia.

Netty przed wersjami 4.2.13.Final i 4.1.133.Final ma podatność w Lz4FrameDecoder, który alokuje ByteBuf o rozmiarze decompressedLength, co może prowadzić do niekontrolowanego przydziału pamięci. Atakujący może wykorzystać 21-bajtowy nagłówek oraz skompresowane dane, aby wymusić tę alokację.

W bibliotece Netty przed wersją 4.2.13.Final w dekoderze QpackDecoder podczas przetwarzania nagłówków HTTP/3 występuje podatność polegająca na braku weryfikacji długości literału przed alokacją pamięci. Atakujący może przesłać spreparowane ramki, które powodują alokację ogromnych buforów, co prowadzi do wyczerpania pamięci (Denial of Service).

Netty, asynchroniczny framework sieciowy, zawiera podatność w kodzie DNS, która nie egzekwuje ograniczeń nazw domenowych zgodnych z RFC 1035. Problem występuje zarówno podczas kodowania, jak i dekodowania, co umożliwia atak dwukierunkowy: złośliwe odpowiedzi DNS mogą wykorzystać dekoder, a nazwy hostów kontrolowane przez użytkownika mogą wykorzystać enkoder.

Netty HttpProxyHandler tworzy żądania HTTP CONNECT z wyłączoną walidacją nagłówków, co pozwala na wstrzyknięcie dowolnych nagłówków HTTP przez atakującego kontrolującego nagłówki wyjściowe. Podatność występuje w wersjach przed 4.2.13.Final i 4.1.133.Final.

Netty, asynchroniczny framework aplikacji sieciowych, ma problem w wersjach od 4.2.0.Final do 4.2.13.Final, gdzie transport epoll nie wykrywa i nie zamyka połączeń TCP, które otrzymują RST po częściowym zamknięciu. To prowadzi do nieaktualnych kanałów, które nigdy nie są usuwane oraz w niektórych ścieżkach kodu do 100% obciążenia CPU w wątku pętli zdarzeń.

CKAN to otwartoźródłowy system zarządzania danymi, który przed wersjami 2.10.10 i 2.11.5 miał podatność na fałszowanie serwera SMTP. Umożliwiało to ataki typu MITM, co narażało dane logowania oraz wszystkie wysyłane e-maile.

Podatność CVE-2026-33583 dotyczy ujawnienia klucza QKEY oraz wewnętrznych kluczy systemowych poprzez nieautoryzowaną i niezaszyfrowaną metodę HTTP GET w platformie Arqit Symmetric Key Agreement. Problem ten dotyczy wersji platformy przed 26.03.