Katalog podatności CVE

W Tenda HG3 2.0 zidentyfikowano podatność, która dotyczy funkcji formTracert w pliku /boaform/formTracert. Manipulacja argumentem datasize może prowadzić do wstrzyknięcia poleceń, co może być przeprowadzone zdalnie.

Wykryto podatność w wtyczce mkdocs-mcp-plugin do wersji 0.4.1, która dotyczy funkcji read_document/list_documents w pliku server.py. Manipulacja argumentem docs_dir/file_path prowadzi do ataku typu path traversal, który może być przeprowadzony zdalnie.

Nieprawidłowe użycie pakietu static-eval w rozwiązaniu open source qnabot-on-aws w wersjach 7.2.4 i wcześniejszych może pozwolić uwierzytelnionemu administratorowi na wykonanie dowolnego kodu w kontekście wykonania Lambda, poprzez wstrzyknięcie spreparowanego wyrażenia łańcuchowego za pomocą interfejsu Content Designer. To może umożliwić dostęp do zasobów backendowych, które nie są dostępne przez normalne interfejsy administracyjne.

Wykryto podatność w dmitryglhf mcp-url-downloader do wersji 4b8cf2de55f6e8864a77d108e8a94a5b8e4394c6. Problem dotyczy funkcji _validate_url_safe w pliku src/mcp_url_downloader/server.py, gdzie manipulacja argumentem url prowadzi do ataku typu server-side request forgery.

W systemie disler aider-mcp-server do wersji b2516fa466d0d851932da92ee6d0e66946db9efc zidentyfikowano lukę, która umożliwia wstrzyknięcie poleceń poprzez manipulację argumentem relative_editable_files w pliku src/aider_mcp_server/server.py. Luka ta może być wykorzystana zdalnie.

Podatność CVE-2026-3087 dotyczy funkcji `shutil.unpack_archive()`, która w przypadku archiwum ZIP z absolutną ścieżką Windows (np. `C:\...`) może wyodrębnić pliki poza docelowy katalog. Problem ten występuje tylko w systemie Windows, co różni go od innych systemów operacyjnych.

W Tenda HG3 w wersji 2.0 zidentyfikowano podatność w funkcji formUploadConfig pliku /boaform/formIPv6Routing. Manipulacja argumentem destNet prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie.

Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPressa jest podatna na eskalację uprawnień w wersjach do 5.4.1 włącznie. Problem wynika z braku sprawdzenia autoryzacji w metodzie execute(), co pozwala na powiązanie rekordu klienta z kontem administratora.

Użytkownik administracyjny, który ma możliwość importowania lub zapisywania definicji klas DataObject, może wstrzykiwać kontrolowane przez atakującego metadane indeksu kompozytowego, co prowadzi do niezamierzonego wykonania SQL w backendzie.

Wykryto podatność w dexhunter kaggle-mcp do wersji 406127ffcb2b91b8c10e20e6c2ca787fbc1dc92d. Podatność ta dotyczy funkcji prepare_kaggle_dataset w pliku src/kaggle_mcp/server.py i umożliwia atakującemu zdalne przeprowadzenie ataku typu path traversal poprzez manipulację argumentem competition_id.

Wykryto podatność w JoeCastrom mcp-chat-studio do wersji 1.5.0, dotycząca nieznanej funkcjonalności pliku server/routes/llm.js w komponencie LLM Models API. Manipulacja argumentem req.query.base_url prowadzi do ataku typu server-side request forgery.

W usłudze RTSP w urządzeniu MERCURY MIPC252W 1.0.5 Build 230306 Rel.79931n występuje podatność na dereferencję wskaźnika NULL. Podczas przetwarzania żądania SETUP dla ścieżki rtsp://<IP>:554/stream1/track2, urządzenie nieprawidłowo waliduje pole nagłówka Transport, co prowadzi do awarii i automatycznego restartu urządzenia.

Problem w Pro-Bit przed wersją 1.77.4 umożliwia nieautoryzowanym atakującym bezpośredni dostęp do wrażliwego katalogu oraz jego podkatalogów.

Wykryto podatność w mcp-data-vis do wersji de5a51525a69822290eaee569a1ab447b490746d, dotyczącą funkcji axios w pliku src/servers/web-scraper/server.js. Manipulacja ta prowadzi do ataku typu server-side request forgery, który może być przeprowadzony zdalnie.

W jądrze systemu Linux naprawiono podatność związaną z przepełnieniem bufora w sterowniku protokołu firmware TH1520 AON. Problem dotyczył niebezpiecznego arytmetyki wskaźników oraz zastąpienia niestandardowych makr konwersji endianów standardowymi makrami jądra.

W jądrze systemu Linux naprawiono podatność związaną z podwójnym zwolnieniem pamięci w funkcji kasan_free_pxd(). Problem występował, gdy tabela stron nie była zawsze wyrównana do struktury page, co prowadziło do błędów w zarządzaniu pamięcią, szczególnie w architekturze powerpc z rozmiarem stron 64K.

Aplikacja Fan Control w wersji V251 zawiera podatność na niewłaściwe zarządzanie uprawnieniami w swoim oknie dialogowym otwierania plików. Dialog ten przetwarza ścieżki dostarczane przez użytkownika z podwyższonymi uprawnieniami, co może być wykorzystane przez lokalnego atakującego do wykonywania działań z uprawnieniami administratora.

W oprogramowaniu diskover-community w wersji 2.3.5 i wcześniejszych wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF). Luka umożliwia zdalnemu atakującemu eskalację uprawnień oraz uzyskanie wrażliwych informacji poprzez plik public/settings_process.php.

authd przed wersją 0.6.4 zawiera błąd logiczny w przypisywaniu identyfikatora grupy podstawowej (GID), który może prowadzić do eskalacji uprawnień lokalnych. Gdy GID użytkownika różni się od jego UID, authd błędnie resetuje GID do UID przy następnym logowaniu, co powoduje, że nowo tworzone pliki i katalogi mają niewłaściwą grupę, prowadząc do problemów z dostępem i potencjalnie umożliwiając eskalację uprawnień.

Wersje ProjeQtor od 7.0 do 12.4.3 zawierają podatność typu ZipSlip w funkcjonalności przesyłania wtyczek, która pozwala uwierzytelnionym atakującym z uprawnieniami do przesyłania plików na zapisanie plików poza zamierzonym katalogiem ekstrakcji. Atakujący mogą wykorzystać niezweryfikowaną ekstrakcję archiwów do zapisania skryptu PHP w katalogu dostępnym przez sieć.