Katalog podatności CVE

W 389 Directory Server znaleziono usterkę polegającą na tym, że podczas przeładowywania schematu funkcja attr_syntax_swap_ht() bezwarunkowo zwalnia węzły informacji o składni atrybutów, pomijając mechanizm odroczonego usuwania oparty na licznikach referencji. Jeśli administrator uruchomi przeładowanie schematu w czasie, gdy aktywne są równoczesne zapytania LDAP, wątki robocze mogą uzyskać dostęp do zwolnionej pamięci, co prowadzi do użycia po zwolnieniu lub podwójnego zwolnienia i awarii serwera.

GeoServer przed wersjami 2.26.4 i 2.27.3 może pozwolić atakującemu na przeprowadzenie nieautoryzowanego ataku typu Server-Side Request Forgery (SSRF) przy użyciu `ENTITY_RESOLUTION_ALLOWLIST`. Wymaga to, aby GeoServer był skonfigurowany do używania adresu URL proxy bez ścieżki lub kończącego się ukośnikiem.

W podatności CVE-2026-56009 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Bricksable dla Bricks Builder, co pozwala na ataki typu Stored XSS.

W podatności CVE-2026-56007 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w OceanWP Ocean Product Sharing, co prowadzi do możliwości wystąpienia ataków typu Stored XSS.

UBB.threads jest podatny na atak typu Reflected XSS. Aplikacja niewłaściwie obsługuje dane wejściowe użytkownika w niektórych żądaniach, co pozwala atakującym na wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary.

UBB.threads jest podatny na przechowywane XSS poprzez posty użytkowników oraz pola profilu użytkownika. Aplikacja nieprawidłowo oczyszcza dane wejściowe, co pozwala atakującym o niskich uprawnieniach na wstrzykiwanie dowolnego kodu JavaScript, który wykonuje się w przeglądarce ofiary po jej wyświetleniu.

W libzypp przed wersją 17.38.13 w serii 17.x oraz przed 16.22.19 występuje podatność na przejście ścieżki w obsłudze komponentu 'path' plików .repo. Atakujący mogą wykorzystać tę lukę do wypełnienia katalogów na systemie poza pamięcią podręczną zypp zawartością.

Podatność CVE-2026-42490 dotyczy sposobu, w jaki system zdobywa blokadę dla operacji związanych z zarządzaniem gośćmi w środowisku Xen. W przypadku użycia XSM/Flask, zdobycie blokady może nastąpić przed sprawdzeniem uprawnień, co stwarza ryzyko nieautoryzowanego dostępu.

CVE-2026-42489 dotyczy braku sprawiedliwości w sposobie nabywania blokady systemowej podczas operacji domctl, co może prowadzić do problemów z równoległym wykonywaniem tych operacji.

Podatność w Docker Sandboxes (sbx) polega na tym, że blokada ruchu ICMP (egress) jest stosowana tylko podczas tworzenia sieci, ale nie jest ponownie aplikowana po restarcie demona Dockera. W rezultacie sandbox, który przetrwa restart, umożliwia wysyłanie pakietów ICMP do dowolnych hostów.

W firmware kamery IP V380 firmy Shenzhen Liandian Communication Technology LTD występuje luka związana z naruszeniem granic autoryzacji w pipeline'ie dostarczania mediów RTSP. Umożliwia to nieautoryzowanym aktorom sieciowym ominięcie procesu uwierzytelniania i bezpośrednie uzyskanie dostępu do strumienia wideo na żywo.

Podatność w Docker Sandboxes (sbx) pozwala na ominięcie listy dozwolonych domen HTTP/S poprzez wykorzystanie tunelowania DNS. Wbudowany serwer DNS przekazuje zapytania do hosta bez sprawdzania polityki, co umożliwia nieufnemu obciążeniu eksfiltrację danych zakodowanych w etykietach DNS.

Wtyczka Fancy Testimonials dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez atrybut 'author' w skrócie 'testimonial' we wszystkich wersjach do 1.0 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.

8cc jest podatny na odczyt poza zakresem z powodu niewłaściwego przetwarzania dyrektyw #line i znaczników GNU. Kompilator akceptuje kontrolowane przez atakującego metadane dotyczące nazw plików i numerów linii, które są później używane bez walidacji.

Wtyczka Slideshow Gallery LITE dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez atrybut 'alwaysauto' shortcode w wersjach do 1.8.5 włącznie. Problem wynika z niewystarczającej sanitizacji danych wejściowych oraz ucieczki danych wyjściowych dla atrybutów dostarczanych przez użytkowników.

Wtyczka MagicForm dla WordPressa w wersji do 0.1.3 nieprawidłowo waliduje typ plików przesyłanych przez nieautoryzowaną akcję AJAX, gdy lista dozwolonych rozszerzeń dla pól formularza jest pusta. To pozwala nieautoryzowanym atakującym na przesyłanie plików PHP i wykonywanie dowolnego kodu na serwerze.

Cotonti 1.0.0 jest podatny na Cross-Site Request Forgery w module Personal File Storage (PFS). W modules/pfs/inc/pfs.editfolder.php, akcja aktualizacji folderu ('a=update') aktualizuje metadane folderu bez wywołania cot_check_xg do walidacji tokena anty-CSRF.

W pliku AndroidManifest.xml występuje możliwa trwała odmowa usługi z powodu braku sprawdzenia uprawnień. Może to prowadzić do lokalnej odmowy usługi bez potrzeby dodatkowych uprawnień wykonawczych.

Wtyczka SysBasics Customize My Account dla WooCommerce jest podatna na odzwierciedlone ataki Cross-Site Scripting poprzez parametr 'tab' w wersjach do 4.3.6 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Atakujący mogą wstrzykiwać dowolne skrypty webowe, co wymaga, aby ofiara była zalogowana z dostępem co najmniej na poziomie Menedżera Sklepu.

Wtyczka Customize My Account For Woocommerce dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode 'sysbasics_user_avatar' w wersjach do 4.3.6 włącznie. Problem wynika z niewystarczającej sanitizacji wejścia i ucieczki wyjścia atrybutów dostarczanych przez użytkowników.