Katalog podatności CVE

Podatność w OpenSSL związana z RSASVE, gdzie nieudane szyfrowanie RSA może zwrócić sukces, pozostawiając niezainicjalizowany bufor. Atakujący może wykorzystać to do wycieku wrażliwych danych z poprzednich operacji procesu.

Podatność w OpenSSL podczas przetwarzania spreparowanej wiadomości CMS EnvelopedData z KeyTransportRecipientInfo. Brak sprawdzenia obecności opcjonalnego pola parametrów w RSA-OAEP prowadzi do dereferencji wskaźnika NULL i awarii.

Podatność w OpenSSL podczas przetwarzania spreparowanej wiadomości CMS EnvelopedData z KeyAgreeRecipientInfo. Brak sprawdzenia obecności opcjonalnego pola parametrów w KeyEncryptionAlgorithmIdentifier prowadzi do dereferencji wskaźnika NULL i awarii.

Podatność w OpenSSL podczas przetwarzania delta CRL z rozszerzeniem Delta CRL Indicator. Brak sprawdzenia obecności rozszerzenia CRL Number prowadzi do dereferencji wskaźnika NULL, co może spowodować awarię aplikacji.

W rzadkiej konfiguracji klientów używających uwierzytelniania serwera opartego na DANE TLSA, w połączeniu z nietypowymi rekordami TLSA serwera, może wystąpić use-after-free i/lub double-free po stronie klienta. Podatność dotyczy tylko klientów obsługujących rekordy TLSA z certyfikatami PKIX-TA(0)/PKIX-EE(1) oraz DANE-TA(2). Klienci SMTP zgodni z RFC7672 nie są podatni.

Podatność w OpenSSL dotycząca odczytu poza zakresem przy szyfrowaniu/deszyfrowaniu AES-CFB128 na systemach z AVX-512 i VAES. Może prowadzić do awarii aplikacji (DoS) przy spełnieniu określonych warunków.

mise zarządza narzędziami deweloperskimi, takimi jak node, python, cmake i terraform. Od wersji 2026.2.18 do 2026.4.5 mise ładuje ustawienia kontroli zaufania z lokalnego pliku .mise.toml przed wykonaniem sprawdzenia zaufania. Atakujący, który może umieścić złośliwy plik .mise.toml w repozytorium, może sprawić, że ten sam plik będzie wydawał się zaufany, a następnie uzyskać dostęp do niebezpiecznych dyrektyw, takich jak [env] _.source, templates, hooks lub tasks.

Podman Desktop przed wersją 1.26.2 zawiera nieuwierzytelniony serwer HTTP, który pozwala atakującemu sieciowemu na zdalne wywołanie DoS oraz wyodrębnienie poufnych informacji. Brak limitów połączeń i timeoutów umożliwia wyczerpanie deskryptorów plików i pamięci jądra, prowadząc do awarii aplikacji lub zawieszenia hosta. Dodatkowo, szczegółowe odpowiedzi błędów ujawniają wewnętrzne ścieżki i szczegóły systemu.

OpenTelemetry-Go w wersjach od 1.36.0 do 1.40.0 przetwarza nagłówki 'baggage' w sposób umożliwiający atakującemu zwiększenie użycia CPU i alokacji pamięci poprzez wysłanie wielu linii nagłówka, nawet jeśli każda wartość mieści się w limicie 8192 bajtów.

W narzędziu suvarchal docker-mcp-server do wersji 0.1.0 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego przez interfejs HTTP. Funkcje stop_container, remove_container i pull_image w pliku src/index.ts nieprawidłowo przetwarzają dane wejściowe, co umożliwia zdalne wykonanie dowolnych poleceń.

W PowerJob 5.1.0/5.1.1/5.1.2 stwierdzono podatność w funkcji GroovyEvaluator.evaluate pliku /openApi/addWorkflowNode komponentu OpenAPI Endpoint. Manipulacja argumentem nodeParams prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.

FastFeedParser przed wersją 0.5.10, gdy funkcja parse() pobiera URL, który zwraca stronę HTML zawierającą tag <meta http-equiv="refresh">, rekurencyjnie wywołuje samą siebie z URL przekierowania — bez ograniczenia głębokości, deduplikacji odwiedzonych URL-i ani limitu przekierowań. Serwer kontrolowany przez atakującego, który zwraca nieskończony łańcuch odpowiedzi HTML meta-refresh, powoduje nieograniczoną rekurencję, wyczerpując stos wywołań Pythona i powodując awarię procesu. Podatność ta może być również połączona z towarzyszącym problemem SSRF w celu dotarcia do wewnętrznych celów sieciowych po ominięciu początkowej kontroli URL. Problem został naprawiony w wersji 0.5.10.

RedwoodSDK od wersji 1.0.0-beta.50 do 1.0.5 umożliwia wywoływanie funkcji serwerowych z plików 'use server' przez żądania GET, z pominięciem zamierzonej metody HTTP. W aplikacjach uwierzytelnianych ciasteczkami SameSite=Lax, atak CSRF może zmieniać stan aplikacji.

WWBN AVideo do wersji 26.0 włącznie pozwala uwierzytelnionemu uploaderowi na obejście walidacji SSRF poprzez kontrolowane wartości downloadURL z rozszerzeniami .mp4, .mp3, .zip, .jpg, .png, .gif, .webm. Serwer pobiera odpowiedź i zapisuje jako treść medialną, umożliwiając eksfiltrację odpowiedzi SSRF.

W WWBN AVideo do wersji 26.0 włącznie, plik objects/aVideoEncoderReceiveImage.json.php umożliwiał uwierzytelnionemu uploaderowi pobieranie kontrolowanych przez atakującego adresów URL samego pochodzenia /videos/..., omijanie zabezpieczeń traversal i ujawnianie lokalnych plików serwera poprzez ścieżkę przechowywania plakatu GIF. Podatna gałąź GIF mogła być wykorzystana do odczytu lokalnych plików, takich jak /etc/passwd lub pliki źródłowe aplikacji, i ponownego opublikowania tych bajtów przez normalny publiczny adres URL mediów GIF.

Vite (framework frontendowy dla JavaScript) w wersjach od 7.1.0 do przed 7.3.2 oraz 8.0.5 pozwala na ominięcie ograniczeń server.fs.deny. Pliki takie jak .env czy *.crt mogą być pobrane z kodem odpowiedzi HTTP 200 po dodaniu parametrów zapytania ?raw, ?import&raw lub ?import&url&inline.

Podatność w Vite (framework narzędziowy dla JavaScript) w wersjach od 6.0.0 do przed 6.4.2, 7.3.2 i 8.0.5 umożliwia atakującemu, który może połączyć się z WebSocket serwera deweloperskiego Vite bez nagłówka Origin, wywołanie fetchModule przez zdarzenie WebSocket vite:invoke i odczytanie dowolnych plików na serwerze jako ciągu JavaScript. Kontrola dostępu z żądań HTTP nie jest stosowana do tego kanału WebSocket.

OpenObserve to platforma obserwowalności chmurowej. W wersji 0.70.3 i wcześniejszych funkcja validate_enrichment_url w pliku src/handler/http/request/enrichment_table/mod.rs nie blokuje adresów IPv6, ponieważ biblioteka url w Rust zwraca je z nawiasami (np. "[::1]" zamiast "::1"). Uwierzytelniony atakujący może dotrzeć do wewnętrznych usług zablokowanych dla dostępu z zewnątrz. W środowiskach chmurowych umożliwia to pobranie danych uwierzytelniających IAM przez AWS IMDSv1 (169.254.169.254), metadane GCP lub Azure IMDS. W instalacjach lokalnych pozwala na skanowanie wewnętrznych usług sieciowych.

Drizzle ORM przed wersjami 0.45.2 i 1.0.0-beta.20 nieprawidłowo escapuje cytowane identyfikatory SQL w funkcji escapeName(). Atakujący może wstrzyknąć kod SQL poprzez kontrolowane dane wejściowe przekazane do API takich jak sql.identifier() lub .as().

W aplikacji PolarLearn w wersji 0-PRERELEASE-15 i wcześniejszych, endpoint POST /api/v1/auth/sign-in tworzy ważną sesję dla zablokowanych kont przed weryfikacją hasła. Sesja ta jest akceptowana przez uwierzytelnione endpointy API, umożliwiając dostęp do danych i działania jako zablokowany użytkownik.