Katalog podatności CVE

W Applocker Filter Driver (applockerfltr.sys) występuje problem z równoległym wykonywaniem przy użyciu wspólnego zasobu z niewłaściwą synchronizacją, co prowadzi do warunku wyścigu. Umożliwia to autoryzowanemu atakującemu podniesienie uprawnień lokalnie.

Podatność w .NET Framework wynika z nieprawidłowej walidacji danych wejściowych, co umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku typu odmowa usługi (DoS) przez sieć.

W Microsoft Office Word występuje podatność typu use after free, która pozwala nieautoryzowanemu atakującemu na lokalne wykonanie kodu.

W usługach zarządzania systemem Windows występuje problem z równoległym wykonywaniem przy użyciu współdzielonego zasobu z niewłaściwą synchronizacją, co prowadzi do wystąpienia warunku wyścigu. Umożliwia to autoryzowanemu atakującemu lokalne podniesienie uprawnień.

Podatność w FlashBlade polega na możliwości logowania wrażliwych informacji w określonych warunkach.

Wersje Acrobat Reader 26.001.21411, 24.001.30360, 24.001.30362 i wcześniejsze są podatne na lukę związaną z nieprawidłową kontrolą modyfikacji atrybutów prototypu obiektu ('zanieczyszczenie prototypu'). Wykorzystanie tej luki może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika, co wymaga interakcji użytkownika poprzez otwarcie złośliwego pliku.

Wersje InDesign Desktop 20.5.2, 21.2 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

Wersje InDesign Desktop 20.5.2, 21.2 i wcześniejsze są podatne na lukę typu out-of-bounds read podczas analizowania spreparowanego pliku, co może prowadzić do odczytu poza końcem przydzielonej struktury pamięci. Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście bieżącego użytkownika.

Wersje InDesign Desktop 20.5.2, 21.2 i wcześniejsze są podatne na lukę typu Use After Free, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

W Fortinet FortiDDoS-F w wersjach 7.2.1 do 7.2.2 występuje podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Atakujący może wykorzystać tę lukę, wysyłając odpowiednio skonstruowane żądania HTTP, co pozwala na wykonanie nieautoryzowanego kodu lub poleceń.

W systemie Webkul Krayin CRM w wersji 2.2.x występuje luka typu Broken Object-Level Authorization (BOLA) w punkcie końcowym /Contact/Persons/PersonController.php. Umożliwia ona uwierzytelnionym atakującym dowolne odczytywanie, modyfikowanie oraz trwałe usuwanie kontaktów należących do innych użytkowników poprzez odpowiednio skonstruowane żądanie GET.

W podatności CVE-2026-38530 występuje problem z autoryzacją na poziomie obiektów (BOLA) w punkcie końcowym /Controllers/Lead/LeadController.php w systemie Webkul Krayin CRM w wersji 2.2.x. Umożliwia to uwierzytelnionym atakującym dowolne odczytywanie, modyfikowanie oraz trwałe usuwanie leadów należących do innych użytkowników poprzez wysłanie odpowiednio skonstruowanego żądania GET.

W Webkul Krayin CRM w wersji 2.2.x występuje luka typu Broken Object-Level Authorization (BOLA) w punkcie końcowym /Settings/UserController.php, która pozwala uwierzytelnionym atakującym na dowolne resetowanie haseł użytkowników oraz przejęcie pełnej kontroli nad kontem poprzez dostarczenie odpowiednio skonstruowanego żądania HTTP.

W wersji 2.2.x systemu Krayin CRM odkryto podatność na wstrzyknięcie SQL poprzez parametr rotten_lead w pliku /Lead/LeadDataGrid.php.

W komponentach /settings/webhooks/create systemu Webkul Krayin CRM w wersji 2.2.x występuje podatność typu Server-Side Request Forgery (SSRF), która umożliwia atakującym skanowanie zasobów wewnętrznych poprzez dostarczenie odpowiednio skonstruowanego żądania POST.

W Fortinet FortiSOAR PaaS w wersjach 7.6.0 do 7.6.3 oraz 7.5.0 do 7.5.2, a także w wersjach on-premise 7.6.0 do 7.6.3 oraz 7.5.0 do 7.5.2 występuje podatność na niewłaściwą autoryzację. Atakujący bez autoryzacji może obejść proces uwierzytelniania, powtarzając przechwycony żądanie 2FA.

W Fortinet FortiAnalyzer Cloud w wersjach 7.6.2 do 7.6.4 oraz FortiManager Cloud w wersjach 7.6.2 do 7.6.4 występuje podatność typu przepełnienie bufora w stercie, która może pozwolić zdalnemu, nieautoryzowanemu atakującemu na wykonanie dowolnego kodu lub poleceń za pomocą specjalnie przygotowanych żądań.

Podatność na wstrzyknięcie SQL w Fortinet FortiAnalyzer, FortiManager i powiązanych produktach (wymienione wersje) może pozwolić uprzywilejowanemu uwierzytelnionemu atakującemu na wykonanie nieautoryzowanego kodu lub poleceń przez API JSON RPC.

W aplikacji desktopowej Autodesk Fusion występuje podatność na przechowywane ataki XSS, która może być wywołana przez złośliwie skonstruowany ładunek HTML w nazwie wariantu zestawienia. Kliknięcie na taki ładunek podczas dialogu potwierdzenia usunięcia może prowadzić do nieautoryzowanego dostępu do lokalnych plików lub wykonania dowolnego kodu.

W aplikacji desktopowej Autodesk Fusion występuje podatność na przechowywane ataki typu Cross-site Scripting (XSS), która może być wywołana przez złośliwie skonstruowany ładunek HTML zapisany w nazwie projektu i eksportowany do formatu CSV. Atakujący może wykorzystać tę podatność do odczytu lokalnych plików lub wykonania dowolnego kodu w kontekście bieżącego procesu.