Katalog podatności CVE

W przeglądarkach Firefox ESR 115.35.1, Firefox ESR 140.10.1 oraz Firefox 150.0.1 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich prowadziły do uszkodzenia pamięci, co mogło umożliwić zdalne wykonanie kodu.

W komponencie DOM: Networking przeglądarki Firefox i klienta poczty Thunderbird wykryto podatność use-after-free. Luka została załatana w wersjach Firefox 150.0.2, Firefox ESR 140.10.2, Firefox ESR 115.35.2, Thunderbird 150.0.2 oraz Thunderbird 140.10.2.

W podatności CVE-2026-6002 występuje niewłaściwe neutralizowanie tagów HTML związanych z skryptami w stronach internetowych, co prowadzi do podstawowego ataku XSS w systemie DivvyDrive. Problem dotyczy wersji DivvyDrive od 4.8.2.9 do przed 4.8.3.2.

W DivvyDrive występuje podatność na atak typu 'cross-site scripting' (XSS) z powodu niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od 4.8.2.9 do przed 4.8.3.2.

W wersji 4.4.0 GoBGP, nieautoryzowany zdalny partner BGP może wywołać krytyczny błąd, wysyłając specjalnie skonstruowaną wiadomość BGP UPDATE. Błąd ten prowadzi do awarii całego procesu GoBGP, co skutkuje całkowitą utratą dostępności usługi.

W bibliotece GnuTLS wykryto błąd w konfiguracjach RSA-PSK. Serwery błędnie dopasowują nazwy użytkowników zawierające znak NUL do skróconych nazw, co umożliwia zdalnemu atakującemu ominięcie uwierzytelniania poprzez wysłanie specjalnie spreparowanej nazwy użytkownika.

W aplikacji monetr, przed wersją 1.12.5, występowała podatność typu server-side request forgery (SSRF) w integracji Lunch Flow. Umożliwiało to każdemu uwierzytelnionemu użytkownikowi na samodzielnie hostowanej instancji wysyłanie żądań HTTP GET do dowolnych adresów URL, co skutkowało zwracaniem treści odpowiedzi z nieprawidłowych odpowiedzi w komunikatach błędów API.

GoBGP, otwartoźródłowa implementacja protokołu BGP w języku Go, przed wersją 4.3.0 zawiera podatność na zdalny atak typu Denial of Service (DoS). Błędnie sformatowana wiadomość BGP UPDATE może spowodować błąd wykonania związany z indeksem poza zakresem.

W wersji 4.3.0 GoBGP, implementacji protokołu BGP, występuje zdalna podatność na Denial of Service (DoS) spowodowana dereferencją wskaźnika nil. Złośliwy komunikat BGP UPDATE z nieznanym atrybutem ścieżki oznaczonym jako 'Well-known' prowadzi do awarii procesu.

W podatności CVE-2026-3953 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do możliwości ataków typu Cross-Site Scripting (XSS) w oprogramowaniu Proticaret E-Commerce. Problem dotyczy wersji od 5.0.0 do przed 6.0.1767.1383.

Brak walidacji danych wejściowych użytkownika w funkcjonalności przesyłania plików w Open Notebook v1.8.3 umożliwia użytkownikowi aplikacji tworzenie lub modyfikowanie plików w kontenerze docker poprzez atak typu path traversal.

Wersja 1.8.1 Open Notebook zawiera niewłaściwą walidację danych wejściowych oraz zbyt liberalną domyślną konfigurację CORS, co umożliwia zdalnemu atakującemu oszukanie legalnego użytkownika w celu zmiany lub usunięcia dowolnych wpisów w bazie danych za pomocą specjalnie przygotowanego złośliwego URL.

Podatność w funkcji udostępniania zewnętrznego w Cryptobox umożliwia atakującemu, który zna URL linku udostępniania, uzyskanie informacji z serwera, co pozwala na przeprowadzenie ataku brute-force offline na kod dostępu związany z tym linkiem.

W podatności CVE-2025-68060 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na przeprowadzenie ataku typu Blind SQL Injection w module WPMart Team Member.

Podatność umożliwiająca zdalne wykonanie kodu w Hitachi Storage Navigator oraz konsoli serwisowej w różnych modelach Hitachi Virtual Storage Platform. Dotyczy to modeli G130, G150, G350, G370, G700, G900, F350, F370, F700, F900 oraz E390, E590, E790, E990, E1090 i innych.

Atakujący z niskimi uprawnieniami zdalnie może uzyskać hasło roota z powodu niewłaściwego usunięcia wrażliwych informacji przed ich przechowaniem lub transferem.

Podatność typu out-of-bounds write w LibreOffice, która występuje w wyniku przetwarzania stworzonych dokumentów OOXML z niedopasowanymi parametrami soli szyfrującej.

W podatności CVE-2025-9661 występuje możliwość wstrzyknięcia poleceń systemowych w interfejsie zarządzania (narzędzie konserwacyjne) platformy Hitachi Virtual Storage Platform One Block 23, 24, 26 i 28.

Wtyczka WP-Optimize dla WordPressa jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżek plików w funkcji unscheduled_original_file_deletion we wszystkich wersjach do 4.5.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyżej usuwanie dowolnych plików na serwerze.

Wtyczka Slider Revolution dla WordPressa jest podatna na nieautoryzowane przesyłanie plików w wersjach od 7.0.0 do 7.0.10 z powodu niewystarczającej walidacji typów plików. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta i wyżej, przesyłanie plików, które mogą być wykonywalne.