Katalog podatności CVE

Substance3D - Designer w wersjach 15.1.0 i wcześniejszych jest podatny na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

Podatność w interfejsie wiersza poleceń punktów dostępowych działających na AOS-10 może umożliwić uwierzytelnionemu zdalnemu atakującemu wykonanie ataku typu injection. Sukces w wykorzystaniu tej podatności może pozwolić atakującemu na uruchomienie dowolnych poleceń w systemie operacyjnym.

Podatność w logice przetwarzania konfiguracji punktów dostępowych działających na AOS-10 może umożliwić uwierzytelnionemu zdalnemu atakującemu wykonanie poleceń systemowych w określonych warunkach. Udana eksploitacja może pozwolić atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym.

Podatność w interfejsie wiersza poleceń punktów dostępowych działających na AOS-10 i AOS-8 Instant może pozwolić uwierzytelnionemu zdalnemu atakującemu na wykonanie poleceń systemowych w ograniczonym środowisku powłoki. Udana eksploitacja może umożliwić atakującemu wykonanie dowolnych poleceń na systemie operacyjnym.

Podatność w interfejsie zarządzania opartym na sieci web punktów dostępowych działających na AOS-10 i AOS-8 Instant może pozwolić nieautoryzowanemu zdalnemu atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary w tej samej lokalnej sieci. Udana eksploitacja może umożliwić atakującemu kompromitację danych użytkownika oraz potencjalne manipulowanie ustawieniami konfiguracyjnymi urządzenia.

CVE-2026-44184 dotyczy narzędzia Cleanuparr, które automatyzuje usuwanie niechcianych lub zablokowanych plików w Sonarr, Radarr i wspieranych klientach pobierania. W wersjach przed 2.9.10, globalna polityka CORS narzędzia pozwalała na odzwierciedlenie każdego żądania Origin, co umożliwiało dostęp do uwierzytelnionych odpowiedzi API przez inne strony internetowe.

Biblioteka phpseclib do bezpiecznej komunikacji w PHP przed wersjami 1.0.29, 2.0.54 i 3.0.52 pozwalała na ładowanie nieufnych plików ASN1, co stanowi obejście podatności CVE-2024-27355.

Pocketbase, otwarte źródło backendu webowego, ma podatność, która pozwala atakującemu na stworzenie i powiązanie niezweryfikowanego użytkownika, jeśli zna adres e-mail ofiary. Po zaproszeniu ofiary do aplikacji, użytkownik stworzony przez atakującego zostanie automatycznie powiązany i zweryfikowany.

Biblioteka ssrfcheck w wersji 1.3.0 i wcześniejszych nie blokuje ataków typu Server-Side Request Forgery (SSRF), gdy docelowy adres IP prywatny jest zakodowany jako adres IPv4-mapped IPv6. Parser URL wbudowany w Node.js normalizuje notację IPv4, co powoduje, że wyrażenie regularne nie wykrywa zagrożenia.

AntSword to wieloplatformowe narzędzie do zarządzania stronami internetowymi. W wersjach przed 2.1.16 występuje niekompletna sanitizacja funkcji noxss(), co prowadzi do możliwości zdalnego wykonania kodu (RCE) za pomocą wstrzyknięcia kodu w formacie jquery.terminal.

W narzędziu do wykrywania zmian na stronach internetowych changedetection.io przed wersją 0.55.1 występuje podatność związana z zaufaniem do ścieżek zrzutów kontrolowanych przez atakującego, które są przywracane z plików kopii zapasowej. Podczas przywracania kopii zapasowej, aplikacja może przywrócić złośliwe pliki, w tym history.txt, co prowadzi do ujawnienia zawartości lokalnych plików.

Podatność w ASP.NET Core powoduje nieskończoną pętlę, która może być wykorzystana przez nieautoryzowanego atakującego do przeprowadzenia ataku typu Denial of Service (DoS) przez sieć.

Przepełnienie lub owinięcie liczb całkowitych w bibliotece DWM Core systemu Windows umożliwia autoryzowanemu atakującemu lokalne podniesienie uprawnień.

W M365 Copilot występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach, co prowadzi do podatności na atak typu 'command injection'. Taki atak umożliwia nieautoryzowanemu napastnikowi manipulację w sieci.

Nieprawidłowa kontrola dostępu w Microsoft Office umożliwia nieautoryzowanemu atakującemu lokalne podszywanie się.

Przepełnienie bufora oparte na stercie w Microsoft Office umożliwia nieautoryzowanemu atakującemu lokalne wykonanie kodu.

W usłudze telekomunikacyjnej Windows występuje błąd 'use after free', który pozwala autoryzowanemu atakującemu na lokalne podniesienie uprawnień.

Xibo to otwartoźródłowa platforma do cyfrowego oznakowania, która przed wersją 4.4.1 miała podatność typu Server-Side Request Forgery (SSRF). Umożliwia ona użytkownikom z uprawnieniami do przesyłania plików w Bibliotece wykonywanie dowolnych żądań HTTP z serwera CMS do zasobów sieciowych.

W wersjach 0.54.9 i wcześniejszych narzędzie changedetection.io przełącza się w tryb XML dla treści XML/RSS, co prowadzi do potencjalnych problemów z bezpieczeństwem związanych z przetwarzaniem niezaufanych danych XML.

Podatność w Visual Studio Code umożliwia atakującemu bez autoryzacji podniesienie uprawnień w sieci poprzez wykorzystanie techniki 'session fixation'.