Katalog podatności CVE

W backendach AWS Secrets Manager i SSM Parameter Store w apache-airflow-providers-amazon przed wersją 9.28.0, logika zakresu zespołu mogła rozwiązać conn_id zawierające '/' (np. 'my_team/conn') do tej samej ścieżki co sekret innego zespołu, gdy wywołujący nie miał kontekstu zespołu. Uprzywilejowany wywołujący bez kontekstu zespołu mógł pobrać sekret innego zespołu, tworząc kolidujący conn_id. Naprawione w wersji 9.28.0 poprzez zmianę separatora zakresu zespołu na '--' i odrzucanie conn_id w kształcie zespołu, gdy brak kontekstu zespołu. Dotyczy tylko eksperymentalnej funkcji multi-tenant teams.

Biblioteka libheif w wersjach 1.21.2 i niższych zawiera podatność na atak DoS (Denial of Service) poprzez nieskończoną pętlę w funkcji Box_stts::get_sample_duration(). Specjalnie spreparowany plik HEIF o rozmiarze 800 bajtów powoduje 100% użycie CPU bez postępu, co prowadzi do odmowy usługi. Problem występuje podczas otwierania pliku, przed jakąkolwiek interakcją użytkownika.

Podatność w pluginie Kirki dla WordPressa polegająca na pominięciu autoryzacji we wszystkich wersjach do 6.0.6 włącznie. Umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym przeglądanie wszystkich formularzy Kirki i odczytywanie danych przesłanych przez odwiedzających, w tym danych kontaktowych i wiadomości.

LIVE555 przed wersją 2026.04.22 zawiera podatność na obejście autoryzacji w obsłudze poleceń sesji RTSP, która pozwala atakującym na powtórne użycie ważnych tokenów sesji z nieuwierzytelnionych połączeń. Atakujący, którzy zdobędą ważny token sesji, mogą wydawać polecenia PLAY i TEARDOWN z drugiego połączenia TCP bez uwierzytelnienia, powodując awarie serwera przez błędy wywołań funkcji wirtualnych lub zakłócanie aktywnych strumieni przez zakończenie sesji ofiary.

Discourse przed wersjami 2026.1.4, 2026.3.1, 2026.4.1 i 2026.5.0-latest.1 zawiera podatność we wtyczce discourse-subscriptions, która pozwala użytkownikom uzyskać dostęp do grup objętych subskrypcją bez dokonania płatności.

EspoCRM w wersjach 9.3.3 i niższych pozwala uwierzytelnionym użytkownikom na przesyłanie załączników SVG przez standardowe pola obsługujące załączniki, a następnie wyświetlanie tych plików SVG jako dokumentów inline, co prowadzi do trwałego XSS między użytkownikami. Mimo że CSP blokuje skrypty inline SVG, pozwala na skrypty z tego samego źródła, więc atakujący może przesłać złośliwy SVG wraz z drugim załącznikiem JavaScript i nakłonić ofiarę do otwarcia SVG w celu wykonania kodu.

W libheif (wersje 1.21.2 i starsze) spreparowany plik HEIF z samples_per_chunk=0 w boxie stsc powoduje niedomiar liczby całkowitej bez znaku w konstruktorze Chunk, co prowadzi do odczytu poza zakresem i awarii (SEGV) przy pierwszym dostępie do ramki. Plik parsuje się bez błędu, ale crash następuje przy próbie wyświetlenia.

Podatność w NanoMQ MQTT Broker w wersjach 0.24.10 i niższych, polegająca na dereferencji wskaźnika NULL podczas obsługi ruchu o wysokiej współbieżności przy ponownym łączeniu. Prowadzi do awarii brokera (DoS) bez uwierzytelniania. Problem został naprawiony w wersji 0.24.11.

Podatność na wstrzyknięcie komend w Panabit PAP-XM320 do wersji V7.7 włącznie. Interfejs zarządzania wywołuje /usr/sbin/pappiw z parametrami sterowanymi przez użytkownika, które są przetwarzane przez eval, umożliwiając wykonanie dowolnych komend powłoki.

Firefox dla iOS udostępniał tryb czytnika na nieuwierzytelnionym lokalnym serwerze WWW, co pozwalało innej aplikacji na tym samym urządzeniu na żądanie dowolnych URL-i i odbieranie odpowiedzi z ciasteczkami zalogowanego użytkownika. Podatność naprawiona w Firefox dla iOS 151.0.

W Technitium DNS Server przed wersją 15.0 występuje podatność, w której serwer agresywnie próbuje pobrać brakujące rekordy RRSIG lub niedopasowane rekordy DNSKEY. Atakujący kontrolujący domenę może spowodować generowanie nadmiernego ruchu sieciowego.

W aplikacji Portrait Dell Color Management przed wersją 3.7.0 dla monitorów Dell wykryto podatność związaną z dowiązaniami symbolicznymi. Na Windowsie, lokalny użytkownik o niskich uprawnieniach może eskalować uprawnienia do Administratora. Podczas instalacji, oprogramowanie zapisuje plik CCFLFamily_07Feb11.edr do C:\ProgramData\Portrait Displays\CW\data\i1D3\ z podwyższonymi uprawnieniami. Ponieważ instalator nie waliduje poprawnie dowiązań symbolicznych ani punktów ponownej analizy w ścieżce docelowej, atakujący może utworzyć złośliwe dowiązanie, które przekieruje operację zapisu do dowolnej lokalizacji systemowej, umożliwiając tworzenie lub nadpisywanie dowolnych plików z podwyższonymi uprawnieniami.

W komponencie Networking: JAR przeglądarki Firefox i Thunderbird występuje obejście polityki samego pochodzenia. Podatność została naprawiona w Firefox 151 i Thunderbird 151.

Podatność typu Spoofing w komponencie Form Autofill w przeglądarkach Firefox i Thunderbird. Problem został naprawiony w wersjach Firefox 151, Firefox ESR 140.11, Thunderbird 151 oraz Thunderbird 140.11.

W funkcjonalności Smart Polling odkryto podatność na wstrzykiwanie HTML, spowodowaną niewłaściwą walidacją parametru wejściowego. Użytkownik z ograniczonymi uprawnieniami może przesłać złośliwe strategie zdalne zawierające tagi HTML, które są renderowane w przeglądarce ofiary.

W funkcjonalności przywracania archiwum odkryto podatność na wstrzykiwanie HTML, spowodowaną niewłaściwą walidacją parametru wejściowego. Użytkownik z uprawnieniami administratora może zdefiniować złośliwy harmonogram przywracania zawierający tagi HTML.

Wykryto podatność na wstrzykiwanie HTML w funkcjonalności użytkowników z powodu niewłaściwej walidacji parametru wejściowego. Użytkownik z uprawnieniami administratora może stworzyć złośliwego użytkownika, którego nazwa zawiera tagi HTML, co prowadzi do potencjalnych ataków phishingowych.

W funkcjonalności Menedżera Poświadczeń odkryto podatność na wstrzyknięcie HTML, spowodowaną niewłaściwą walidacją parametru wejściowego. Użytkownik z uprawnieniami administratora może zdefiniować złośliwą tożsamość zawierającą tagi HTML, co prowadzi do potencjalnych ataków phishingowych.

W funkcjonalności raportów odkryto podatność na wstrzykiwanie szablonów Angulara z powodu niewłaściwej walidacji parametru wejściowego. Użytkownik z uprawnieniami do raportów może zdefiniować złośliwy raport zawierający ładunek szablonu Angulara.

W Keycloak znaleziono lukę, która pozwala uwierzytelnionemu klientowi wykorzystać podatność Insecure Direct Object Reference (IDOR) w punkcie końcowym API Ochrony Usług Autoryzacji. Znając unikalny identyfikator zasobu (UUID) należący do innego Serwera Zasobów w tym samym obszarze, klient może obejść kontrole autoryzacji.