Katalog podatności CVE

W Vaultwarden, przed wersją 1.35.4, występuje podatność, która pozwala na ominięcie ochrony przed atakami brute-force na logowanie, jeśli włączona jest dwuetapowa weryfikacja (2fa) przez e-mail. Funkcja 2fa send_email_login działa jako oracle, co umożliwia atakującym testowanie kombinacji nazwy użytkownika i hasła bez ograniczeń czasowych.

Vaultwarden, serwer kompatybilny z Bitwarden, przed wersją 1.35.5 pozwalał niepotwierdzonemu właścicielowi organizacji na usunięcie całego skarbca organizacji. Proces zapraszania do organizacji nie weryfikował statusu potwierdzenia, co umożliwiało usunięcie danych przez użytkownika zaproszonego jako właściciel.

Vaultwarden przed wersją 1.35.5 nie weryfikuje, czy wpisy dotyczące użytkowników i grup należą do tej samej organizacji, co prowadzi do możliwości nieautoryzowanego dostępu do danych w skarbcu innej organizacji.

W bootloaderze barebox przed wersją 2026.04.0 wykryto wiele podatności bezpieczeństwa pamięci w ładowarce EFI PE (plik efi/loader/pe.c). Błąd przepełnienia liczby całkowitej przy obliczaniu rozmiaru wirtualnego obrazu oraz brak walidacji wskaźnika PointerToRawData prowadzą do zbyt małej alokacji sterty i odczytu poza jej granicami. Atakujący może dostarczyć złośliwy plik EFI PE przez TFTP, USB, kartę SD lub rozruch sieciowy, co może skutkować przepełnieniem bufora sterty i potencjalnym wykonaniem kodu w kontekście bootloadera.

Link Preview JS przed wersją 4.0.1 nie sprawdzał ataków na pętlę zwrotną IPv6 oraz ataków DNS, co mogło prowadzić do wycieków danych wewnętrznych.

Podatność w exiftool-vendored przed wersją 35.19.0 umożliwia wstrzykiwanie argumentów do ExifTool poprzez nieodrzucanie znaków nowej linii w dostarczonych ciągach. To może prowadzić do podziału jednego argumentu na wiele, co stwarza ryzyko manipulacji argumentami.

Outline to usługa umożliwiająca współpracę nad dokumentacją, która w wersjach od 0.84.0 do 1.7.0 ma problem z autoryzacją w punkcie końcowym subscriptions.create. W przypadku podania zarówno collectionId, jak i documentId, autoryzacja dotyczy tylko collectionId, co pozwala atakującemu na przypisanie subskrypcji do dokumentu, do którego nie ma dostępu.

Usługa Outline, umożliwiająca współpracę nad dokumentacją, przed wersją 1.7.0 miała lukę w funkcji ZipHelper.extract, która niepoprawnie obliczała ścieżkę ekstrakcji dla wpisów zip. W przypadku długich ścieżek, funkcja ta usuwała wszystkie komponenty katalogu, co prowadziło do otwarcia pliku w niewłaściwej lokalizacji.

Outline to usługa umożliwiająca współpracę nad dokumentacją. W wersjach od 0.84.0 do 1.6.1 sekcja komentarzy pozwala użytkownikom na wzmiankowanie innych użytkowników, jednak backend nie waliduje ani nie oczyszcza atrybutu href związanego z tymi wzmiankami, co może prowadzić do wykonania niebezpiecznego kodu po stronie klienta.

Outline to usługa umożliwiająca współpracę nad dokumentacją. W wersjach od 0.84.0 do 1.6.1 występuje błąd logiczny w funkcji OAuthInterface.validateScope(), który pozwala na akceptację całej tablicy zakresów OAuth, jeśli jakikolwiek pojedynczy zakres jest ważny.

WWBN AVideo to otwarta platforma wideo, która w wersjach do 29.0 pozwala nieautoryzowanym użytkownikom na odczytanie APISecret z pliku objects/plugins.json.php. Dzięki temu mogą oni wywoływać chronione punkty końcowe API, takie jak users_list, bez logowania się.

AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma podatność na atak SSRF. Dwa punkty końcowe nieprawidłowo walidują dostarczone przez użytkownika adresy URL, co pozwala atakującemu na przekierowanie do wewnętrznych zasobów.

AVideo to otwartoźródłowa platforma wideo, która w wersjach do 29.0 ujawnia lokalny sekret CloneSite w odpowiedzi HTTP na każde nieautoryzowane żądanie. Sekret ten może być wykorzystany przez atakującego do podszywania się pod ofiarę i uzyskania dostępu do zdalnej bazy danych.

W aplikacji jotty·page przed wersją 1.22.0 występuje podatność na nieautoryzowany atak typu path traversal w endpointzie /api/app-icons/[filename]. Parametr filename jest łączony z ścieżką systemu plików bez walidacji, co umożliwia odczyt plików poza dozwolonym katalogiem.

W bibliotece libcaca w wersji 0.99.beta20 i wcześniejszych występuje podatność na przepełnienie bufora całkowitego w funkcjonalności importu kanwy, co pozwala atakującemu na kontrolowane zapisanie danych poza przydzieloną pamięcią. Może to prowadzić do uszkodzenia pamięci lub zdalnego wykonania kodu.

AVideo to otwarta platforma wideo, która w wersjach do 29.0 ma lukę umożliwiającą atakującemu bez uwierzytelnienia wysyłanie złośliwych wiadomości przez WebSocket. Luka ta wynika z niewłaściwego przetwarzania danych JSON, co pozwala na wykonanie kodu PHP na serwerze.

Problem związany z użyciem po zwolnieniu pamięci został rozwiązany poprzez poprawę zarządzania pamięcią. Podatność ta została naprawiona w kilku wersjach systemów operacyjnych Apple.

Problem przepełnienia bufora został rozwiązany poprzez poprawę obsługi pamięci. Poprawka jest zawarta w iOS 18.7.10 i iPadOS 18.7.10, iOS 26.5 i iPadOS 26.5, macOS Sequoia 15.7.8, macOS Sonoma 14.8.8, macOS Tahoe 26.5, tvOS 26.5, watchOS 26.5. Przetwarzanie specjalnie spreparowanego obrazu może uszkodzić pamięć procesu.

Problem z walidacją został rozwiązany poprzez poprawioną logikę. Wystąpienie tej podatności mogło uniemożliwić egzekwowanie polityki bezpieczeństwa treści.

Podatność w WebKit, która może prowadzić do nieoczekiwanego zawieszenia Safari podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez ulepszone zarządzanie pamięcią.