Katalog podatności CVE

Podatność odczytu poza dozwolonym zakresem sterty w bibliotece PyTorch torchvision do wersji 0.28.0 (naprawiona w commicie 4e05dc2). Dekoder GIF przekazuje niesprawdzoną długość do memcpy, co może prowadzić do ujawnienia pamięci lub odmowy usługi.

Vanna do wersji 2.0.2 zawiera podatność typu path traversal w integracji FileSystemConversationStore. Nieuwierzytelniony atakujący może zapisywać dowolne pliki JSON i odczytywać metadane konwersacji poza katalogiem bazowym, używając sekwencji path traversal w parametrze conversation_id.

W panelu administracyjnym Shopper (headless e-commerce) przed wersją 2.8.0 wykryto trzy powiązane defekty: brak blokady identyfikatorów modeli Eloquent w komponentach Livewire umożliwiał manipulację danymi, przesyłanie hasła w postaci jawnego tekstu przez ukryte pole formularza prowadziło do ujawnienia wrażliwych danych, a pole kodu kreskowego produktu było renderowane bez odpowiedniego escapingu, co pozwalało na trwałe przechowywanie złośliwego kodu XSS.

Rozszerzenie Easy Store (wersje 1.0.0-2.0.1) dla Joomla! umożliwia nieuwierzytelnionym atakującym fałszowanie płatności i zamówień poprzez przetwarzanie danych po stronie klienta. Atakujący może manipulować stanem płatności i zamówień.

Proxygen nie posiadał ogólnego mechanizmu wykrywania wolnych konsumentów w warstwie sesji HTTP. Zdalny, nieuwierzytelniony atakujący może wykorzystać kontrolę przepływu HTTP/2, ustawiając SETTINGS_INITIAL_WINDOW_SIZE na 0 lub wstrzymując ramki WINDOW_UPDATE, powodując buforowanie całych treści odpowiedzi w pamięci dla zablokowanych strumieni. Otwierając wiele równoczesnych strumieni żądających dużych zasobów, atakujący może doprowadzić do nieograniczonego wzrostu pamięci, degradacji usługi, wyczerpania zasobów lub odmowy usługi.

CyberPanel do wersji 1.9.1 (załatane w commicie b198460) zawiera podatność IDOR w aplikacji IncBackups w handlerach przyrostowych kopii zapasowych (deleteBackup, fetchRestorePoints, restorePoint). Uwierzytelnieni użytkownicy panelu mogą uzyskać dostęp do zasobów kopii zapasowych innych dzierżawców lub manipulować nimi, podając kontrolowany przez atakującego globalnie sekwencyjny identyfikator IncJob, który nie jest ograniczony do autoryzowanej domeny. Atakujący mogą wyliczać sekwencyjne identyfikatory kopii zapasowych, aby odczytać metadane kopii zapasowej innego dzierżawcy, nieodwracalnie usunąć migawki kopii zapasowej innego dzierżawcy lub wywołać nieautoryzowane przywrócenie kopii zapasowej innego dzierżawcy z uprawnieniami roota.

W CyberPanel (do wersji 1.9.1) brakuje autoryzacji w handlerze cancelBackupCreation. Uwierzytelniony atakujący może wysyłać spreparowane żądania POST z dowolnymi parametrami, co pozwala na zabijanie procesów backupu, usuwanie archiwów i niszczenie backupów innych użytkowników.

Nieprawidłowe obsłużenie błędu inicjalizacji w AWS API MCP Server (wersje 0.2.13 do 1.3.46) może pozwolić atakującemu na ominięcie skonfigurowanej polityki bezpieczeństwa i wykonanie operacji AWS API, które polityka miała blokować. Gdy inicjalizacja danych egzekwowania polityki nie powiedzie się przy starcie serwera, sprawdzanie polityki jest pomijane przez cały czas działania procesu. Uprawnienia IAM na skonfigurowanych poświadczeniach pozostają w mocy.

Logto pomija walidację elementu SAML <Conditions>, co umożliwia atakującym usunięcie ograniczeń czasowych i dotyczących odbiorców oraz wielokrotne odtwarzanie asercji.

Logto po cichu nie usuwa sesji SAML inicjowanych przez IdP, co umożliwia odtwarzanie sesji i ponowne użycie w oknie ważności sesji.

W bibliotece swift-crypto przed wersją 4.5.1, podczas inicjalizacji klucza RSA z DER lub PEM, w przypadku błędu następuje podwójne zwolnienie pamięci (double-free). Może to prowadzić do awarii przy przyszłych alokacjach pamięci. Problem występuje, gdy BoringSSL nie może zdekodować klucza.

W swift-nio-ssl metoda NIOSSLCertificate._subjectAlternativeNames udostępnia surowe bajty dla SAN certyfikatu. Zakłada, że bufor jest wspierany przez ASN1_STRING, ale nie wszystkie SAN są wspierane przez ASN1_STRING, co może prowadzić do odczytu poza pamięcią.

DOMPurify przed wersją 3.4.11 nie klonuje listy dozwolonych atrybutów ALLOWED_ATTR podczas używania setConfig() z hookiem uponSanitizeAttribute, co pozwala hookowi na trwałą modyfikację współdzielonej listy. Atakujący mogą zarejestrować hook, który warunkowo zezwala na niebezpieczne atrybuty (np. onerror) dla zaufanych elementów, a następnie przesłać niezaufaną treść, która dziedziczy zanieczyszczoną listę i wykonuje event handlery jako przechowywany XSS.

Bold Reports Standalone Report Designer przed wersją 14.1.12 zawiera lukę braku walidacji ścieżki pliku w funkcji przesyłania plików, umożliwiającą uwierzytelnionym atakującym wyjście poza zamierzony katalog przez podanie spreparowanej nazwy pliku. Atakujący mogą wykorzystać tę słabość do wykonania dowolnych poleceń z wysokimi uprawnieniami na serwerze. Luka dotyczy modułu DataHub wprowadzonego w Bold Reports 6.3.

brace-expansion do wersji 5.0.7 jest podatny na atak DoS przez wyczerpanie pamięci. Funkcja expand() ogranicza liczbę wyników opcją max (domyślnie 100 000), ale nie ogranicza długości każdego łańcucha wynikowego. Łącząc wiele grup nawiasów klamrowych, atakujący utrzymuje liczbę wyników poniżej limitu, jednocześnie sprawiając, że każdy wynik jest coraz dłuższy, co prowadzi do fatalnego błędu braku pamięci. Około 7,5 KB wejścia ('{a,b}'.repeat(1500)) powoduje awarię domyślnego procesu Node.js. Podatność załatana w wersji 5.0.8 przez dodanie opcji maxLength (domyślnie 4 000 000).

W JetBrains PyCharm przed wersją 2026.1.4 oraz 2026.2 możliwe było wykonanie dowolnego kodu poprzez złośliwy plik wykonywalny Pythona przy otwieraniu niezaufanego projektu.

W JetBrains TeamCity przed wersjami 2026.1.2 i 2025.11.6 możliwe było wykonanie kodu poprzez ucieczkę z piaskownicy Kotlin DSL.

Grav API Plugin przed wersją 1.0.10 nie waliduje pola groups w metodzie InvitationsController::create(), co pozwala uwierzytelnionym wywołującym z uprawnieniami api.users.write na przypisywanie zaproszonych kont do grup przyznających uprawnienia api.super. Atakujący mogą tworzyć rekordy zaproszeń z podwyższonym członkostwem w grupach, a po ich zaakceptowaniu nowe konto uzyskuje pełny dostęp API super-admina, mimo że zapraszający nie posiada tych uprawnień.

Grav API Plugin przed wersją 1.0.10 nieprawidłowo waliduje pole slug w endpointcie POST /pages/{route}/move. Metoda PagesController::move() oczyszcza slug tylko za pomocą ltrim($body['slug'], '.'), co usuwa początkowe kropki, ale nie neutralizuje segmentów '/' ani '..'. Uwierzytelniony wywołujący API z uprawnieniami api.pages.write może podać sekwencję path traversal (np. 01.home/../../../pwned), aby przenieść cały katalog strony (treść i multimedia) do dowolnej lokalizacji z możliwością zapisu poza user/pages/, w tym poza instalacją Grav.

Grav API Plugin przed wersją 1.0.10 nie ogranicza dostępu do zapisu do krytycznych dla bezpieczeństwa zakresów konfiguracji wtyczek, co pozwala uwierzytelnionym użytkownikom z uprawnieniami api.config.write na modyfikację ustawień rate limiting i CORS. Atakujący mogą wyłączyć rate limiting w całej witrynie, aby umożliwić ataki brute-force na hasła, oraz zmienić polityki CORS, aby obejmowały kontrolowane przez atakującego źródła z włączonymi poświadczeniami.