Katalog podatności CVE

Cockpit w wersji 2.13.5 i wcześniejszych jest podatny na błędną konfigurację w funkcji _isFileTypeAllowed komponentu Bucket, która pozwala na ominięcie filtra rozszerzeń dla specjalnie skonstruowanej nazwy pliku. Umożliwia to uwierzytelnionemu atakującemu zmianę nazw dowolnych plików na rozszerzenie .php, co pozwala na wykonanie dowolnego kodu na serwerze.

W bibliotece libsndfile 1.2.2 w kodzie IMA ADPCM wykryto podatność polegającą na przepełnieniu liczby całkowitej przy mnożeniu wartości samplesperblock i blocks w ścieżce WAV. Atakujący może dostarczyć specjalnie spreparowany plik WAV, co prowadzi do nieprawidłowego zliczania ramek, a w konsekwencji do przepełnienia bufora sterty lub odmowy usługi.

W składniku TVicPort64.sys produktu EnTech Taiwan TVicPort w wersji 4.0, plik w wersji 5.2.1.0 występuje problem, który pozwala atakującym na eskalację uprawnień poprzez wysyłanie spreparowanych żądań IOCTL 0x80002008.

Wykryto podatność w ezequiroga mcp-bases, która wpływa na funkcję search_papers w pliku research_server.py. Manipulacja argumentem topic prowadzi do przejścia ścieżki, co umożliwia zdalne wykorzystanie ataku.

Wersje Text::CSV_XS przed 1.62 dla Perla mają problem z użyciem po zwolnieniu pamięci, gdy zarejestrowane wywołania zwrotne rozszerzają stos argumentów Perla. Może to prowadzić do pomyłek typów lub uszkodzenia pamięci.

W podatności CVE-2026-5161 występuje niewłaściwe rozwiązywanie linków przed dostępem do plików w oprogramowaniu Pardus About, co umożliwia atak typu symlink. Problem dotyczy wersji przed 1.2.2.

Podatność w TUBITAK BILGEM Software Technologies Research Institute Pardus Software Center związana z niewłaściwym zarządzaniem uprawnieniami i kontrolą dostępu pozwala na przejęcie uprzywilejowanego procesu. Dotyczy wersji Pardus Software Center od 1.0.2 do przed 1.0.3.

Podatność CVE-2026-41952 umożliwia lokalne podniesienie uprawnień z powodu niewłaściwej walidacji danych wejściowych. Dotyczy to produktów Acronis DeviceLock DLP (Windows) przed wersją 9.0.93212 oraz Acronis Cyber Protect Cloud Agent (Windows) przed wersją 42183.

Podatność umożliwia lokalne podniesienie uprawnień z powodu niewłaściwej walidacji danych wejściowych. Dotyczy to produktów Acronis DeviceLock DLP (Windows) przed wersją 9.0.93212 oraz Acronis Cyber Protect Cloud Agent (Windows) przed wersją 42183.

W urządzeniu TOTOLINK A3002RU V3 w wersjach do V3.0.0-B20220304.1804 odkryto podatność na przepełnienie bufora na stosie, która występuje w funkcji formMapDelDevice poprzez parametr hostname.

Podatność związana z niewłaściwym neutralizowaniem sekwencji CRLF ('wstrzyknięcie CRLF') w oprogramowaniu Pardus Update pozwala na obejście uwierzytelniania. Dotyczy to wersji Pardus Update od 0.6.3 do przed 0.6.4.

Wtyczka HTML Publisher w Jenkinsie w wersji 427 i wcześniejszych nie ucieka nazwy zadania oraz URL w pliku wrappera, co prowadzi do podatności na przechowywane ataki XSS.

Wtyczka Jenkins Credentials Binding w wersji 719.v80e905ef14eb_ i wcześniejszych nie sanitizuje nazw plików dla poświadczeń plikowych i archiwów zip, co pozwala atakującym na zapis plików w dowolnych lokalizacjach systemu plików węzła.

Podatność CVE-2026-42652 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce User Registration w wersjach od n/a do 5.1.5. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

W podatności CVE-2026-42646 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce TaxoPress simple-tags. Problem dotyczy wersji TaxoPress od n/a do 3.44.0.

Podatność w e-Sushrut wynika z ujawnienia wrażliwych informacji i zakodowanych na stałe kluczy szyfrowania AES w kodzie JavaScript po stronie klienta.

Podatność w e-Sushrut wynika z użycia odwracalnego kodowania Base64 do ochrony wrażliwych danych.

Podatność w e-Sushrut wynika z niewłaściwej kontroli autoryzacji podczas dostępu do zasobów.

Podatność w e-Sushrut wynika z niewłaściwej kontroli dostępu podczas walidacji dostępu do zasobów.

Podatność w e-Sushrut wynika z ujawniania haseł jednorazowych (OTP) w postaci jawnego tekstu w odpowiedziach API.