Katalog podatności CVE

W serwerze X.Org X wykryto podatność use-after-free w funkcji miSyncTriggerFence() odpowiedzialnej za obsługę ogrodzeń XSYNC. Atakujący mający dostęp do serwera X11 może bez interakcji użytkownika doprowadzić do awarii serwera i potencjalnie do uszkodzenia pamięci.

W serwerze X.Org X wykryto podatność polegającą na niedomiarze liczby całkowitej w obsłudze mapy zgodności XKB. Umożliwia ona atakującemu z lokalnym lub zdalnym dostępem do serwera X11 wywołanie odczytu poza buforem, co może prowadzić do naruszenia bezpieczeństwa pamięci i potencjalnie do odmowy usługi (DoS) lub innych poważnych skutków.

Wersje SocialEngine 7.8.0 i wcześniejsze zawierają podatność na ślepą fałszywą prośbę serwera (SSRF) w punkcie końcowym /core/link/preview, gdzie dane wejściowe dostarczone przez użytkownika nie są oczyszczane przed użyciem do konstruowania wychodzących żądań HTTP. Uwierzytelnieni zdalni atakujący mogą dostarczać dowolne adresy URL, w tym adresy wewnętrzne i adresy pętli zwrotnej.

Nieuwierzytelniony zdalny atakujący może wyczerpać wszystkie dostępne połączenia TCP w stosie adaptera EtherNet/IP w CODESYS, uniemożliwiając legalnym klientom nawiązywanie nowych połączeń.

Rower elektryczny Yadea T5 (modele wyprodukowane od 2024 roku) posiada słaby mechanizm uwierzytelniania w systemie bezkluczykowego dostępu. System wykorzystuje protokół RF EV1527 z ustalonym kodem, nie implementując kodów zmiennych ani mechanizmów kryptograficznych, co naraża go na fałszowanie sygnału.

W jądrze systemu Linux zidentyfikowano podatność związana z użyciem po zwolnieniu pamięci w funkcji raw_rcv(). Problem występuje, gdy raw_release() zwalnia zasoby, ale usunięcie odbiornika jest opóźnione, co prowadzi do sytuacji, w której raw_rcv() może nadal działać na zwolnionych zasobach.

Serwer WWW LabOne, wspierający interfejs użytkownika LabOne, zawiera niewystarczającą walidację wejścia w funkcjonalności dostępu do plików. Nieautoryzowany atakujący może wykorzystać tę podatność do odczytu dowolnych plików na systemie hosta, które są dostępne dla użytkownika systemu operacyjnego uruchamiającego oprogramowanie LabOne.

Wtyczka ExactMetrics – Google Analytics Dashboard dla WordPressa jest podatna na nieautoryzowaną instalację i aktywację dowolnych wtyczek w wersjach do 9.1.2 włącznie. Problem wynika z tego, że strona raportów udostępnia klucz 'onboarding_key' każdemu użytkownikowi z uprawnieniami 'exactmetrics_view_dashboard'.

Podatność w mechanizmie odświeżania widoków zmaterializowanych w Google BigQuery na platformie Google Cloud pozwala uwierzytelnionemu użytkownikowi na potencjalne ujawnienie wrażliwych danych przy użyciu spreparowanego widoku zmaterializowanego, który wywołuje błąd wykonania podczas procesu odświeżania. Podatność została załatana 29 stycznia 2026 roku i nie wymaga działań ze strony klienta.

Wersje CryptX przed 0.088 dla Perla nie ponownie inicjalizują stanu PRNG po forku. Obiekty Crypt::PK::* utworzone przed `fork()` dzielą identyczny stan PRNG z każdym procesem potomnym, co może prowadzić do identycznych wyników operacji losowych, w tym generowania kluczy.

GROWI, dostarczany przez GROWI, Inc., jest podatny na atak typu denial of service (DoS) wykorzystujący wyrażenia regularne poprzez specjalnie przygotowany ciąg wejściowy.

Oprogramowanie do ustawień IP zawiera problem z ścieżką wyszukiwania DLL, co może prowadzić do niebezpiecznego ładowania dynamicznych bibliotek linkowanych. W rezultacie może zostać wykonany dowolny kod z uprawnieniami administratora.

Froxlor to oprogramowanie do zarządzania serwerami typu open source. W wersjach przed 2.3.6, metoda `DataDump.add()` tworzyła ścieżkę eksportu na podstawie danych dostarczonych przez użytkownika, omijając walidację symlinków, co pozwalało na przejęcie własności dowolnych katalogów na systemie przez klientów.

Froxlor to oprogramowanie do zarządzania serwerami typu open source. W wersjach przed 2.3.6 metoda `DomainZones::add()` akceptuje dowolne typy rekordów DNS bez listy dozwolonych oraz nie oczyszcza znaków nowej linii w polu `content`, co pozwala na obejście walidacji treści.

Paperclip to serwer Node.js i interfejs użytkownika React, który koordynuje zespół agentów AI do prowadzenia działalności. Wersje @paperclipai/server przed 2026.416.0 zawierają podatność na eskalację uprawnień, która pozwala atakującemu z kluczem API agenta na wykonywanie dowolnych poleceń systemowych na hoście serwera Paperclip.

PySpector to framework do statycznej analizy bezpieczeństwa (SAST) zaprojektowany dla nowoczesnych przepływów pracy w Pythonie. W wersjach przed 0.1.8 blokada w `PluginSecurity.validate_plugin_code` jest niekompletna, co pozwala na obejście zabezpieczeń i wykonanie dowolnego kodu przez atakującego, który dostarczy plik wtyczki.

STIG Manager to API i klient webowy do zarządzania ocenami STIG systemów informatycznych. Wersje od 1.5.10 do 1.6.7 mają podatność na odbity XSS w kodzie obsługi błędów uwierzytelniania OIDC w plikach src/init.js i public/reauth.html. Podczas przekierowania OIDC parametry zapytania error i error_description są zapisywane bezpośrednio do DOM przez innerHTML bez kodowania HTML. Atakujący, który może spreparować złośliwy URL i nakłonić użytkownika do jego otwarcia, może wykonać dowolny JavaScript w kontekście aplikacji.

PsiTransfer to rozwiązanie do udostępniania plików, które przed wersją 2.4.3 miało lukę w procesie przesyłania plików. Atakujący mógł stworzyć plik `config.<NODE_ENV>.js` w katalogu głównym aplikacji, co prowadziło do jego wykonania przy następnym uruchomieniu procesu.

IBM Total Storage Service Console (TSSC) / TS4500 IMC w wersjach 9.2, 9.3, 9.4, 9.5, 9.6 może pozwolić nieautoryzowanemu użytkownikowi na wykonanie dowolnych poleceń z normalnymi uprawnieniami na systemie z powodu niewłaściwej walidacji danych wejściowych dostarczonych przez użytkownika.

W Ziostation2 w wersji 2.9.8.7 i wcześniejszych występuje podatność typu path Traversal. Zdalny, nieautoryzowany atakujący może uzyskać dostęp do wrażliwych informacji na temat systemu operacyjnego.