Katalog podatności CVE

Wykryto podatność w urządzeniu Tenda F451 w wersji 1.0.0.7, która dotyczy funkcji fromDhcpListClient w pliku /goform/DhcpListClient. Manipulacja argumentem page prowadzi do przepełnienia bufora na stosie.

Zidentyfikowano podatność w FoundationAgents MetaGPT do wersji 0.8.1, która dotyczy funkcji generate_thoughts w pliku metagpt/strategy/tot.py komponentu Tree-of-Thought Solver. Manipulacja prowadzi do wstrzykiwania kodu, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność bezpieczeństwa w perfree go-fastdfs-web do wersji 1.3.7, która dotyczy nieznanej części pliku src/main/java/com/perfree/controller/InstallController.java w interfejsie doInstall. Manipulacja prowadzi do niewłaściwej autoryzacji, co może umożliwić zdalny atak.

W kompilatorze Gleam wykryto podatność polegającą na nieprawidłowej walidacji ścieżek podczas obsługi zależności git. Nazwy zależności z plików gleam.toml i manifest.toml są używane do tworzenia ścieżek bez wystarczającego zabezpieczenia, co pozwala na manipulację ścieżką (np. ../) i dostęp do plików poza docelowym katalogiem zależności. Atakujący może wykorzystać złośliwą zależność do usunięcia lub nadpisania dowolnych katalogów, a w niektórych środowiskach doprowadzić do wykonania kodu.

Wtyczka wpForo Forum dla WordPressa jest podatna na nieautoryzowane usuwanie plików w wersjach do 3.0.2. Problem wynika z błędu logicznego, który pozwala atakującemu na przesłanie złośliwej ścieżki pliku, co prowadzi do usunięcia pliku z serwera.

Wtyczka Optimole – Optymalizacja obrazów dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) we wszystkich wersjach do 4.2.2 włącznie. Problem wynika z niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych w parametrze 's' (opis srcset) w nieautoryzowanym punkcie końcowym REST.

Wtyczka BuddyPress Groupblog dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do i włącznie z 1.9.3. Problem wynika z braku odpowiednich kontroli autoryzacyjnych przy obsłudze parametrów `groupblog-blogid`, `default-member` i `groupblog-silent-add` z wejścia użytkownika.

Podatność CVE-2026-5496 dotyczy oprogramowania Labcenter Electronics Proteus i polega na błędzie w analizie plików PDSPRJ, który prowadzi do zamieszania typów. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach, pod warunkiem, że użytkownik odwiedzi złośliwą stronę lub otworzy złośliwy plik.

Podatność w Labcenter Electronics Proteus dotycząca analizy plików PDSPRJ umożliwia zdalne wykonanie kodu. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2026-5494 dotyczy oprogramowania Labcenter Electronics Proteus i polega na możliwości zdalnego wykonania dowolnego kodu poprzez nieprawidłowe przetwarzanie plików PDSPRJ. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2026-5493 dotyczy oprogramowania Labcenter Electronics Proteus i polega na możliwości wykonania zdalnego kodu poprzez nieprawidłowe przetwarzanie plików PDSPRJ. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność NoMachine pozwala lokalnym atakującym na eskalację uprawnień na zainfekowanych instalacjach. Problem występuje w NoMachine Device Server, który ładuje bibliotekę z niebezpiecznej lokalizacji.

Podatność NoMachine umożliwia lokalnym atakującym eskalację uprawnień na zainfekowanych instalacjach. Problem wynika z niewłaściwego sprawdzania parametrów wiersza poleceń, co pozwala na wykorzystanie dostarczonej przez użytkownika ścieżki w operacjach na plikach.

Podatność NoMachine pozwala lokalnym atakującym na usunięcie dowolnych plików na zainfekowanych instalacjach. Problem wynika z niewłaściwego sprawdzania zmiennych środowiskowych przed ich użyciem w operacjach na plikach.

Podatność w konfiguracji OpenSSL w KeePassXC umożliwia lokalnym atakującym eskalację uprawnień. Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach na docelowym systemie, aby móc wykorzystać tę podatność.

Podatność CVE-2026-4157 dotyczy urządzeń ChargePoint Home Flex i pozwala atakującym z sieci lokalnej na zdalne wykonanie dowolnego kodu. Problem wynika z niewłaściwego przetwarzania wiadomości OCPP, co umożliwia atakującemu wykorzystanie niezweryfikowanego ciągu znaków do wykonania polecenia systemowego.

Podatność w ChargePoint Home Flex OCPP umożliwia zdalne wykonanie kodu poprzez przepełnienie bufora na stosie. Problem wynika z braku odpowiedniej walidacji długości danych dostarczanych przez użytkownika przed ich skopiowaniem do bufora o stałej długości.

Podatność CVE-2026-4155 dotyczy stacji ładowania ChargePoint Home Flex, która umożliwia zdalnym atakującym ujawnienie wrażliwych informacji. Problem wynika z obecności tajnego klucza kryptograficznego w skrypcie genpw, co pozwala na ujawnienie zapisanych poświadczeń.

Podatność w GIMP umożliwia zdalne wykonanie kodu podczas parsowania plików XPM. Problem wynika z braku walidacji danych użytkownika, co prowadzi do przepełnienia liczby całkowitej przed alokacją bufora. Wymagana jest interakcja użytkownika (otwarcie złośliwego pliku lub strony).