Katalog podatności CVE

Podatność CVE-2026-9271 dotyczy określonego komponentu, który może być narażony na ataki. W szczególności, może prowadzić do nieautoryzowanego dostępu lub ujawnienia danych.

Heptabase, opracowany przez Hepta Platforms, ma podatność na ujawnioną niebezpieczną metodę lub funkcję, która pozwala nieautoryzowanym zdalnym atakującym wykorzystać techniki inżynierii społecznej do oszukania ofiary w celu otwarcia lub załadowania złośliwej strony internetowej w aplikacji Heptabase. To umożliwia uzyskanie nieautoryzowanego dostępu do uprawnień kamery i mikrofonu.

W podatności CVE-2026-48613 występuje luka typu SQL injection w migracji pól profilu phpBB, spowodowana niewłaściwym przetwarzaniem danych dostarczonych przez użytkowników. Umożliwia to wykonanie dowolnych zapytań SQL na forach phpBB, które zostały zaktualizowane z wersji wcześniejszych niż phpBB 3.3.8 i nie zostały jeszcze zaktualizowane do wersji 3.3.11 lub nowszej.

Obsługa atrybutów wirtualnych w Ping Identity PingDirectory w dotkniętych wersjach pozwala tylko autoryzowanym użytkownikom na wyczerpanie pamięci heap Java, gdy włączona jest historia ostatnich logowań i kopiowane są atrybuty wirtualne, które odnoszą się do wartości ds-privilege-name.

Wtyczka Presto Player dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'link_url' shortcode'a [presto_player_overlay] w wersjach do 4.2.0 włącznie. Problem wynika z niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych w funkcji getOverlays().

ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo, która przed wersją 5.5.3 - #141 zawierała niewłaściwe neutralizowanie znaków wieloznacznych SQL w punkcie edycji napisów. Użytkownik z autoryzacją mógł wysłać znak % jako parametr liczbowy, co pozwalało na nadpisanie wszystkich tytułów napisów dowolnego wideo, które posiadał, w jednym żądaniu HTTP.

ClipBucket v5 to otwarta platforma do udostępniania wideo. W wersjach przed 5.5.3 - #133, normalny uwierzytelniony użytkownik mógł edytować napisy wideo innego użytkownika z powodu braku autoryzacji.

Rozszerzenie Idira Identity Browser dla przeglądarek Chrome, Firefox i Edge w wersjach przed 26.8.1 zawiera błąd walidacji pochodzenia w swoich wewnętrznych procedurach weryfikacji stron internetowych. Użytkownik uwierzytelniony, który odwiedzi specjalnie przygotowaną stronę, może umożliwić zdalnemu atakującemu wywołanie nieautoryzowanej interakcji z aplikacją lub wykonanie parametrów w kontekście tej uwierzytelnionej sesji przeglądarki.

W Google Chrome przed wersją 149.0.7827.115 wystąpił błąd odczytu poza zakresem w VideoCapture, który umożliwiał zdalnemu atakującemu, który przejął proces GPU, uzyskanie potencjalnie wrażliwych informacji z pamięci procesu za pomocą spreparowanej strony HTML.

Podatność w Google Chrome na ChromeOS przed wersją 149.0.7827.115 umożliwia zdalnemu atakującemu, który skompromitował proces renderowania, odczyt poza zakresem w module Video, co może prowadzić do ujawnienia potencjalnie wrażliwych informacji z pamięci procesu za pomocą spreparowanej strony HTML.

Niewystarczająca walidacja niezaufanego wejścia w sieci w Google Chrome przed wersją 149.0.7827.115 umożliwiła zdalnemu atakującemu, który przejął proces renderowania, wyciek danych między źródłami za pomocą spreparowanej strony HTML.

Niewystarczające egzekwowanie polityki w DevTools w Google Chrome przed wersją 149.0.7827.115 umożliwia zdalnemu atakującemu obejście polityki same origin za pomocą spreparowanej strony HTML.

Wykorzystanie po zwolnieniu pamięci w funkcji Autofill w Google Chrome przed wersją 149.0.7827.115 umożliwia zdalnemu atakującemu, który przejął proces renderera, uzyskanie potencjalnie wrażliwych informacji z pamięci procesu za pomocą spreparowanej strony HTML.

OpenClaw przed wersją 2026.4.24 zawiera lukę w autoryzacji w funkcji pętli zwrotnej MCP, która pozwala na ominięcie polityk narzędzi przeznaczonych tylko dla właścicieli. Atakujący mogą wywołać zachowanie zarezerwowane dla właścicieli za pomocą tej podatnej ścieżki pętli zwrotnej.

OpenClaw przed wersją 2026.5.19 zawiera lukę w autoryzacji, która pozwala na ominięcie kontroli listy dozwolonych kanałów podczas odczytu wiadomości. Użytkownicy o niższym poziomie zaufania mogą żądać wiadomości z kanałów, do których nie mają dostępu, co może prowadzić do ujawnienia wrażliwych informacji.

OpenClaw w wersjach przed 2026.5.6 zawiera lukę umożliwiającą obejście polityki zatwierdzania w procesie aplikacji w Skill Workshop. Umożliwia to atakującym wywołanie narzędzi agenta, które mogą ustawić apply: true mimo konfiguracji approvalPolicy: pending.

Podatność w Summarize przed wersją 0.17.0 umożliwia zdalnym atakującym wyczerpanie zasobów dysku poprzez serwowanie odpowiedzi multimedialnych, które omijają narzucony limit rozmiaru z powodu brakujących lub błędnie zgłoszonych nagłówków Content-Length, kodowania transferu fragmentarycznego lub nieudanych żądań HEAD. Atakujący kontrolujący kanał podcastu lub adres URL multimediów może przesyłać nieograniczoną odpowiedź do lokalnego magazynu przez ścieżkę pobierania plików tymczasowych, wyczerpując zasoby dysku lub systemu na hoście uruchamiającym CLI.

Podatność w CodexBar przed wersją 0.33.0 umożliwia przechwytywanie poświadczeń poprzez przekierowania między domenami lub na protokół HTTP. Atakujący z tej samej sieci mogą przekierować żądania zawierające ciasteczka, tokeny bearer lub klucze API na nieautoryzowany host, port lub zwykły tekst HTTP.

FPDI to zbiór klas PHP, które umożliwiają odczytywanie stron z istniejących dokumentów PDF i używanie ich jako szablonów w FPDF. Przed wersją 2.6.7, atakujący mógł przesłać mały, złośliwy plik PDF, co prowadziło do awarii skryptu po stronie serwera z powodu wyczerpania pamięci lub przekroczenia czasu wykonywania skryptu.

W bibliotece parsera kodeka H.265 GStreamer (gst-plugins-bad) odkryto błąd przepełnienia bufora stosu. Błąd ten występuje podczas analizy wiadomości SEI dotyczącej okresu buforowania, gdzie używana jest nieprawidłowa granica pętli, co może prowadzić do zapisu poza przydzielonymi granicami pamięci stosu.