Katalog podatności CVE

Wtyczka GeoDirectory WordPress przed wersją 2.8.169 nie przeprowadza żadnej kontroli autoryzacji przy zwracaniu danych znaczników mapy dla pojedynczej żądanej wizytówki, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie tytułu i dokładnych współrzędnych geograficznych niepublicznych (oczekujących lub szkicowych) wizytówek.

Podatność typu path traversal w parisneo/lollms w wersji 2.1.0, w trasie SPA catch-all w `backend/routers/ui.py`. Niewłaściwe obsłużenie ścieżki wejściowej użytkownika, która jest bezpośrednio łączona ze ścieżką systemu plików bez sanityzacji, pozwala nieuwierzytelnionemu atakującemu na odczyt dowolnych plików na serwerze. Problem został naprawiony w wersji 3.

W bibliotece Crypt::OpenSSL::PKCS12 dla Perla przed wersją 1.98 występuje podatność na dereferencję wskaźnika NULL w funkcji print_attribute przy atrybucie BMPSTRING o zerowej długości. Zerowa długość powoduje, że bufor jest zwalniany i zwraca NULL, a następnie wywołanie strlen na tym wskaźniku powoduje awarię procesu.

Flowise do wersji 3.1.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w zabezpieczeniu SSRF zaimplementowanym w httpSecurity.ts, gdzie DEFAULT_DENY_LIST pomija endpoint metadanych Oracle Cloud Infrastructure (192.0.0.192) oraz Alibaba Cloud (100.100.100.200). Umożliwia to uwierzytelnionym atakującym zmuszenie serwera do wysyłania dowolnych żądań GET do usług metadanych instancji chmurowych, a w przypadku publicznych chatflow z węzłami pobierania URL możliwy jest dostęp bez uwierzytelnienia.

W parserze plików DDS (DirectDraw Surface) w GIMP występuje podatność na przepełnienie bufora na stercie. Gdy spreparowany plik DDS deklaruje format pikseli D3D9, ale ustawia niższą wartość bitów na piksel (bpp) w nagłówku, loader alokuje zbyt mały bufor na stercie. Kolejne zużycie danych pikseli przy rzeczywistym formacie powoduje zapis poza granicę bufora, co prowadzi do uszkodzenia metadanych sterty i potencjalnego wykonania kodu.

W projekcie INQUIRELAB mcp-bridge-api do commit b30a82aa1d1d1139e0de846c41c8aadee6e06114 wykryto podatność na wstrzykiwanie poleceń w funkcji nieznanej w pliku mcp-bridge.js w komponencie Servers Endpoint. Manipulacja argumentami command/args umożliwia zdalne wykonanie poleceń. Projekt używa ciągłych wydań, więc brak szczegółów wersji.

Wtyczka Solace Extra dla WordPressa przed wersją 1.6.1 nie przeprowadza kontroli uprawnień w kilku akcjach AJAX i udostępnia nonce chroniące te akcje na stronach administracyjnych dostępnych dla użytkowników o niskich uprawnieniach. Umożliwia to użytkownikom z rolą Subskrybenta lub wyższą modyfikację ustawień wyglądu całej witryny oraz usuwanie zaimportowanych treści kreatora stron.

Wtyczka WP Directory Kit dla WordPressa przed wersją 1.5.5 nie przeprowadza kontroli autoryzacji ani nonce na jednej z uwierzytelnionych akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybent, na ujawnienie ustawień wtyczki, w tym wrażliwych kluczy API i sekretów.

Wtyczka WP Directory Kit dla WordPressa przed wersją 1.5.5 nie sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL w jednej z uwierzytelnionych akcji AJAX, która nie ma kontroli autoryzacji i nonce. Pozwala to każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybent, na przeprowadzanie ataków SQL injection.

Wtyczka Admin Safety Guard — Login Security, Limit Logins, 2FA & Brute Force Protection dla WordPressa przed wersją 1.4.0 nie przeprowadza żadnej kontroli uprawnień na jednym z punktów końcowych REST API, co pozwala nieuwierzytelnionym atakującym na pobranie pełnej listy zarejestrowanych użytkowników, w tym ich nazw użytkownika, adresów e-mail, ról oraz statusu włączenia uwierzytelniania dwuskładnikowego.

Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie ogranicza klas dozwolonych podczas deserializacji wartości pochodzącej z publicznego formularza, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne obiekty PHP.

W Bouncy Castle for Java FIPS (BC-FJA) przed bc-fips 1.0.2.7, 2.0.2 i 2.1.3, wrażliwy materiał klucza przechowywany przez silniki AES i DESede, DRBG SP 800-90A, SymmetricSecretKey oraz klasy parametrów PBKD i scrypt był zerowany podczas garbage collection przez nadpisanie Object.finalize. Finalizacja działa w nieokreślonym czasie i kolejności, a pojedynczy wątek finalizatora może nie nadążać, co prowadzi do nieograniczonego wzrostu kolejki finalizacji, przyczyniając się do OutOfMemoryError pod obciążeniem, a materiał klucza pozostaje w pamięci przez długi czas, niwecząc cel zerowania. Problem nie występuje na Java 8 i 11, ale na nowszych JVM, gdzie finalizacja jest zdeprecjonowana. Teraz usuwanie tych klas odbywa się przez java.lang.ref.Cleaner zarejestrowany w nakładce jdk1.9, więc na Java 9 i nowszych nie zależy od finalizatora. Bouncy Castle for Java (bcprov) i LTS nie są dotknięte.

W Bouncy Castle for Java FIPS (BC-FJA) przed bc-fips 2.1.3, natywne źródło entropii na platformach Intel ponawiało instrukcje CPU bez ograniczeń. RDSEED i RDRAND zgłaszają błąd przez flagę przeniesienia, a pętla JNI kręciła się w nieskończoność, jeśli flaga pozostawała wyczyszczona, co mogło zawiesić wątek w wywołaniu JNI, nie do przerwania ani przekroczenia limitu czasu. Każda operacja korzystająca z natywnego źródła entropii mogła zawisnąć, powodując odmowę usługi. Pętle ponawiania są teraz ograniczone (200 prób dla RDSEED i 20 dla RDRAND), z przerwami i po wyczerpaniu prób czyszczą bufor i rzucają wyjątek. Czyszczenie wykonuje nieusuwalny memzero z barierą pamięci. Bouncy Castle for Java (bcprov) nie jest dotknięty, a serie 1.0.X i 2.0.X nie są dotknięte.

Klever-Go, implementacja protokołu blockchain Klever w Go, w wersjach od 1.7.14 do 1.7.17 jest podatna na zdalnie wyzwalany atak DoS. Serwery REST są uruchamiane z domyślnym serwerem HTTP Go bez skonfigurowanych limitów (ReadHeaderTimeout, ReadTimeout, MaxHeaderBytes), co pozwala na trzymanie połączeń otwartych w nieskończoność, prowadząc do wyczerpania deskryptorów plików.

Klever-Go w wersjach 1.7.14 do 1.7.17 jest podatny na zdalnie wyzwalany atak DoS przez nieograniczone tworzenie gorutyn. Obsługa bezpośrednich wiadomości tworzy nową gorutynę dla każdej wiadomości przed sprawdzeniem antiflood, co pozwala pojedynczemu peerowi na wysłanie strumienia wiadomości i przeciążenie węzła.

Klever-Go w wersjach 1.7.14 do 1.7.17 jest podatny na panikę z powodu nil-wskaźnika wywołaną przez transakcję protobuf z pominiętym polem RawData. Brak sprawdzenia nil przed dereferencją tx.RawData.Version w txVersionChecker.CheckTxVersion powoduje crash całego procesu węzła, co może doprowadzić do zatrzymania łańcucha.

Kakoune, edytor kodu, przed wersją 2026.05.21 zawiera domyślnie włączony skrypt autorestore.kak, który może być wykorzystany przez złośliwe pliki kopii zapasowych do wykonania dowolnych poleceń kakoune i powłoki po prostu przez otwarcie pliku.

lakeFS, narzędzie open-source do zarządzania obiektowym storage, przed wersją 1.81.1 (open source) i 1.84.0 (enterprise) renderuje pliki Markdown z obiektów repozytorium bez sanityzacji HTML. Użytkownik z prawem zapisu może umieścić złośliwy plik .md z dowolnym HTML/JavaScript, który wykona się w sesji innego użytkownika.

Klever-Go przed wersją 1.7.18 jest podatny na amplifikację tablicy skrótów w logice obsługi żądań P2P resolvera. Małe skompresowane żądanie (442 bajty) może rozwinąć się do 200 000 wpisów skrótów, powodując zdalną amplifikację pamięci i CPU.

Klever-Go przed wersją 1.7.20 ma podatność w weryfikacji podpisu nagłówka, gdzie nieużywane bity dopełnienia PubKeysBitmap są liczone do kworum dwóch trzecich walidatorów. Złośliwy producent bloków może ustawić te bity, aby osiągnąć wymagane kworum bez prawdziwej liczby podpisów, osłabiając bezpieczeństwo konsensusu.