Katalog podatności CVE

HtmlSanitizer w wersjach przed 9.2.1039 oraz wersjach przedpremierowych 10.0 przed 10.0.1037-beta zawiera podatność cross-site scripting, ponieważ funkcja SanitizeDom(string) nigdy nie sanityzuje atrybutów elementów opakowujących html i body. Atakujący może dostarczyć dane wejściowe z drugim znacznikiem body lub html zawierającym obsługę zdarzeń, np. onload, co powoduje wykonanie skryptu podczas renderowania zserializowanego dokumentu lub zewnętrznego HTML body.

Wtyczka WpEvently firmy Magepeople inc. zawiera podatność typu Basic XSS polegającą na niewłaściwej neutralizacji znaczników HTML powiązanych ze skryptami, co umożliwia wstrzyknięcie kodu. Problem dotyczy WpEvently w wersjach od n/a do 5.7.9.

W projekcie Sunwood-ai-labs github-kanban-mcp-server do wersji 0.4.0 wykryto podatność w funkcji handleListIssues w pliku src/handlers/issue-handlers.ts. Manipulacja argumentami state/labels prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie. Zaleca się aktualizację do wersji 0.4.1.

W produkcie DeepSeek Harness do wersji 0.1.0-rc.5 wykryto podatność w funkcji createContext w pliku packages/extensions/cordis-host-runner/src/sandbox.ts. Manipulacja prowadzi do problemu z piaskownicą, a atak można przeprowadzić zdalnie. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział.

Arm Keil MDK-Middleware w wersjach 8.0.0–8.3.0 może umożliwiać błędy odczytu poza granicami bufora podczas przetwarzania opcji DHCPv6 (Option-Walk) oraz niezamierzone ponowne przesyłanie danych. Problem dotyczy stosu sieciowego tej biblioteki.

Arm Keil MDK-Middleware w wersji 8.3.0 może umożliwiać odczyty i zapisy poza granicami bufora odbiorczego serwera FTP. Problem dotyczy komponentu serwera FTP tej biblioteki.

Arm Keil MDK-Middleware w wersjach 8.0.0–8.3.0 może umożliwiać odczyt poza granicami bufora w przetwarzaniu SNMP przed uwierzytelnieniem. Problem dotyczy komponentu SNMP tej biblioteki.

Syncplify Server! 6.0.0 przed wersją 8.8.0 zawiera podatność path traversal umożliwiającą atakującemu umieszczenie dowiązania symbolicznego w katalogu domowym użytkownika w celu dostępu do plików poza katalogiem głównym wirtualnego systemu plików. Ograniczenia są egzekwowane tylko względem żądanej ścieżki, a nie rzeczywistego celu dowiązania na dysku.

OpenJPEG w wersjach 2.4.0–2.5.4 oraz w gałęzi git do commita 8314119b zawiera błąd odczytu i zapisu poza granicami bufora w funkcji opj_dwt_encode_and_deinterleave_v() w pliku src/lib/openjp2/dwt.c. Atakujący może wykorzystać ten błąd do wywołania odmowy usługi.

Podatność w komponencie OAuth Apache Camel polega na współdzieleniu statycznego cache tokenów przez wszystkie instancje resolvera w JVM, z kluczem opartym tylko na endpointcie tokena i client ID. Profile różniące się zakresem (scope) lub client secret, ale współdzielące endpoint i client ID, otrzymują nawzajem swoje tokeny, co może prowadzić do użycia tokena o szerszych uprawnieniach lub przeznaczonego dla innej usługi.

Wersje Mattermost 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie ograniczają ilości tekstu wyodrębnianego z przesłanego pliku PDF. Uwierzytelniony użytkownik może wyczerpać pamięć serwera i spowodować odmowę usługi za pomocą spreparowanego pliku PDF, którego skompresowany strumień treści rozpakowuje się do bardzo dużej ilości tekstu.

Wersje Mattermost 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie stosują limitów alokacji w ścieżkach dekodowania ciągów bajtów w dekoderze msgpack WebSocket. Uwierzytelniony zdalny atakujący może spowodować nadmierną alokację pamięci serwera za pomocą spreparowanej binarnej ramki WebSocket deklarującej długość ładunku Bin32 do 4 294 967 295 bajtów.

W Infinispan Operator dla Red Hat Data Grid wykryto błąd polegający na przekazywaniu haseł keystore i truststore jako jawnych argumentów wiersza poleceń kontenera Gossip Router, gdy włączony jest TLS cross-site (xsite). Argumenty kontenera są przechowywane w specyfikacji Pod i widoczne dla każdego podmiotu z uprawnieniem get pods w przestrzeni nazw, dla procesów na poziomie węzła przez /proc/<pid>/cmdline oraz często trafiają do logów audytowych i zdarzeń.

Interfejs webowy boneIO Black nie posiada odpowiednich zabezpieczeń przed clickjackingiem. Zdalny atakujący może osadzić panel sterowania w iframe na złośliwej stronie i nakłonić uwierzytelnionego użytkownika w sieci wewnętrznej do klikania przycisków aktywujących przekaźniki, otwierających bramy lub sterujących roletami. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego, odwiedzając złośliwą stronę.

boneIO Black wyłącza uwierzytelnianie dla kilku punktów końcowych API. Nieuwierzytelniony zdalny atakujący w sieci lokalnej może pobrać logi systemowe, wersję firmware, numer seryjny, nazwę użytkownika MQTT, listę plików konfiguracyjnych oraz dokumentację API. Dane te ułatwiają rekonesans i umożliwiają ukierunkowane ataki na urządzenie.

boneIO black_debian_images przechowuje plik haseł brokera Mosquitto MQTT w /etc/mosquitto/passwd z uprawnieniami umożliwiającymi odczyt wszystkim użytkownikom. Każdy lokalny użytkownik może odczytać skróty haseł wszystkich kont MQTT i przeprowadzić ataki słownikowe w trybie offline.

boneIO Black jest podatny na Cross-Site Request Forgery (CSRF) na wszystkich punktach końcowych API zmieniających stan, ponieważ nie posiada tokenów CSRF i nie waliduje nagłówków Origin ani Referer. Zdalny atakujący może spreparować złośliwą stronę, która po odwiedzeniu przez użytkownika w sieci wewnętrznej wysyła żądania cross-origin do urządzenia, umożliwiając ponowne uruchomienie kontrolera, przełączanie przekaźników, sterowanie bramami i roletami lub wyłączenie urządzenia. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego.

boneIO Black przechowuje hasła, w tym hasło brokera MQTT i panelu webowego, w postaci jawnej. Endpoint GET /api/config zwraca pełną konfigurację z ujawnionymi hasłami usług podrzędnych, a każdy uwierzytelniony użytkownik może je odczytać. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) nieuwierzytelniony atakujący w tej samej sieci lokalnej może pobrać wszystkie hasła.

Z powodu nieprawidłowych kontroli uprawnień w Lobster_pro atakujący mogą korzystać z endpointów, które powinny wymagać uprawnień administracyjnych. Problem dotyczy wersji 4.12.12-LTS i potencjalnie innych wersji przed 25.1.3.

W gssproxy wykryto podatność polegającą na dereferencji wskaźnika NULL. Gdy odebrane zostanie żądanie GSSX_INIT_SEC_CONTEXT bez pola target_name, demon dereferencjonuje wskaźnik NULL i ulega awarii. Żądanie nie wymaga uwierzytelnienia, więc każdy lokalny użytkownik może wywołać awarię demona przez gniazdo Unix, a demon nie restartuje się automatycznie, co powoduje trwałą odmowę usługi.