Katalog podatności CVE

W podatności CVE-2026-30351 występuje problem z przechodzeniem ścieżek w komponencie UI/static aplikacji leonvanzyl autocoder, co pozwala atakującym na odczyt dowolnych plików poprzez wysyłanie spreparowanych URL-i zawierających sekwencje przechodzenia ścieżek.

W systemie rezerwacji online do wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /loginuser.php. Manipulacja argumentami email/hasło prowadzi do wstrzyknięcia SQL.

Problem w punkcie końcowym /store/items/search serwera Agent Protocol w wersji commit e9a89f umożliwia atakującym wywołanie ataku typu Denial of Service (DoS) za pomocą spreparowanego żądania POST.

W systemie zarządzania sprzedażą i zapasami SourceCodester Pharmacy w wersji 1.0 znaleziono lukę. Problem dotyczy nieznanej funkcji w pliku /ajax.php?action=delete_category, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem ID.

W systemie zarządzania sprzedażą i zapasami SourceCodester Pharmacy w wersji 1.0 wykryto podatność bezpieczeństwa. Problem dotyczy nieznanego przetwarzania pliku /ajax.php?action=save_type, co prowadzi do możliwości wstrzyknięcia SQL.

Zidentyfikowano słabość w systemie zarządzania sprzedażą i zapasami SourceCodester Pharmacy Sales and Inventory System w wersji 1.0. Podatność ta dotyczy nieznanego kodu w pliku /ajax.php?action=delete_receiving, co prowadzi do możliwości wstrzyknięcia SQL.

W systemie zarządzania sprzedażą i zapasami SourceCodester Pharmacy Sales and Inventory System w wersji 1.0 odkryto lukę bezpieczeństwa. Manipulacja argumentem ID w pliku /ajax.php?action=save_category prowadzi do podatności na atak typu SQL injection.

W Cerberus FTP Server na systemie Windows występuje podatność związana z niebezpiecznymi dziedziczonymi uprawnieniami, co umożliwia eskalację uprawnień. Problem został rozwiązany w wersji 2026.1 Cerberus FTP Server.

Podatność w elixir-plug plug_cowboy pozwala na zdalny atak typu denial of service poprzez wyczerpanie tabeli atomów. Atakujący może wysyłać unikalne wartości nagłówka :scheme w żądaniach HTTP/2, co prowadzi do awarii maszyny wirtualnej Erlang.

Wersje Text::Minify::XS od 0.3.0 do przed 0.7.8 dla Perla mają przepełnienie sterty podczas przetwarzania nieprawidłowych znaków UTF-8.

W Tenda HG3 2.0 wykryto podatność, która dotyczy nieznanej funkcji w pliku /boaform/formCountrystr. Manipulacja argumentem countrystr prowadzi do wstrzyknięcia poleceń systemowych.

Podatność CVE-2026-5943 dotyczy anomalii strukturalnych dokumentów, które powodują niespójności między relacjami elementów na stronie a stanami wewnętrznych indeksów. W wyniku modyfikacji dokumentów przez skrypty, nieprawidłowo utrzymywano ważność odniesień obiektów, co prowadziło do awarii podczas dostępu do nieprawidłowego wskaźnika.

Błędy w logice analizy powodują, że dane niesygnaturowe są błędnie identyfikowane jako ważne sygnatury podczas przetwarzania źle sformatowanych hierarchii pól formularzy. To prowadzi do nieprawidłowych zapisów w pamięci oraz awarii programu podczas budowy wewnętrznych struktur danych.

Wywołanie funkcji, która powoduje odświeżenie interfejsu użytkownika po usunięciu komentarzy za pomocą skryptu, może prowadzić do dostępu do zainwalidowanego obiektu, co skutkuje awarią programu.

Podatność w komponencie camel-consul Apache Camel umożliwia zdalne wykonanie kodu poprzez deserializację złośliwych obiektów Java z magazynu Consul KV. Problem dotyczy klas ConsulRegistry i ConsulRegistryUtils, które nie filtrują deserializowanych danych.

Komponent camel-infinispan w Apache Camel deserializuje dane z zdalnej pamięci podręcznej Infinispan za pomocą java.io.ObjectInputStream bez filtra wejściowego. Atakujący mogący zapisywać do tej pamięci może wstrzyknąć spreparowany obiekt Java, prowadząc do zdalnego wykonania kodu podczas operacji odczytu.

W Apache Camel wbudowany serwer HTTP lub serwer zarządzania (camel-platform-http-main) z włączonym uwierzytelnianiem i skonfigurowaną ścieżką kontekstową (np. /api) nieprawidłowo ogranicza uwierzytelnianie tylko do dokładnej ścieżki, pomijając jej podścieżki. Nieuwierzytelnione żądania do podścieżek, takich jak /api/_route_ lub /admin/observe/info, mogą ujawnić metadane środowiska wykonawczego (użytkownik, katalog roboczy, PID, informacje o JVM i systemie operacyjnym).

Wykryto podatność w urządzeniu Tenda F456 w wersji 1.0.0.5, która dotyczy funkcji fromWrlclientSet w pliku /goform/WrlclientSet komponentu httpd. Manipulacja tą funkcją prowadzi do przepełnienia bufora.

W urządzeniu Tenda F456 w wersji 1.0.0.5 zidentyfikowano lukę w funkcji fromNatlimitof w pliku /goform/Natlimit komponentu httpd. Wykonanie manipulacji może prowadzić do przepełnienia bufora, co stwarza ryzyko zdalnego ataku.

Wykryto podatność w urządzeniu Tenda F456 w wersji 1.0.0.5, która dotyczy funkcji formQuickIndex w pliku /goform/QuickIndex komponentu httpd. Manipulacja argumentem mit_linktype prowadzi do przepełnienia bufora, co może być wykorzystane przez zdalnego atakującego.