Katalog podatności CVE

W Open Cluster Management (OCM) wykryto lukę polegającą na nieprawidłowej walidacji odnawiania certyfikatów klienta Kubernetes. Umożliwia ona administratorowi zarządzanego klastra sfałszowanie certyfikatu klienta, który może zostać zatwierdzony przez kontroler OCM.

W wersjach Django 6.0 przed 6.0.4, 5.2 przed 5.2.13 oraz 4.2 przed 4.2.30 odkryto problem, który pozwala zdalnemu atakującemu na fałszowanie nagłówków. Wykorzystuje on niejednoznaczne mapowanie dwóch wariantów nagłówków (z myślnikami lub podkreśleniami) do jednej wersji z podkreśleniami.

W wersjach przed 4.3 interfejs webowy text-generation-webui zawierał podatność na przejście ścieżki, która pozwalała na odczyt dowolnego pliku z systemu plików serwera bez ograniczeń dotyczących rozszerzeń. Atakujący mógł wykorzystać API do przesyłania ładunków przejścia katalogu i otrzymywać pełną zawartość plików w odpowiedzi.

pyLoad to darmowy i otwartoźródłowy menedżer pobierania napisany w Pythonie. Wprowadzone poprawki w CVE-2026-33509 dodały opcję ADMIN_ONLY_OPTIONS, aby zablokować użytkowników niebędących administratorami przed modyfikowaniem krytycznych opcji konfiguracyjnych, jednak opcja storage_folder nie została objęta tym ograniczeniem, co prowadzi do możliwości wykonania złośliwego kodu.

pyLoad to darmowy menedżer pobierania napisany w Pythonie. W wersji 0.5.0b3.dev96 i wcześniejszych mechanizm ochrony ADMIN_ONLY_OPTIONS ogranicza dostęp do krytycznych wartości konfiguracyjnych tylko dla administratorów, jednak dotyczy to jedynie opcji konfiguracyjnych rdzenia, a nie opcji wtyczek. Wtyczka AntiVirus przechowuje ścieżkę do pliku wykonywalnego, która może być zmieniana przez użytkowników z uprawnieniami SETTINGS, co prowadzi do zdalnego wykonania kodu.

W wersjach przed 0.17.1 biblioteki libp2p-rust, serwer rendezvous przechowuje ciasteczka paginacji bez ograniczeń. Nieautoryzowany użytkownik może wielokrotnie wysyłać żądania DISCOVER, co prowadzi do nieograniczonego wzrostu pamięci.

W wersji przed 0.17.1 serwer libp2p-rendezvous nie ma ograniczenia co do liczby przestrzeni nazw, które pojedynczy peer może zarejestrować. Złośliwy peer może w nieskończoność rejestrować unikalne przestrzenie nazw, co prowadzi do wyczerpania pamięci serwera.

W wersjach Django 6.0 przed 6.0.4, 5.2 przed 5.2.13 oraz 4.2 przed 4.2.30 odkryto problem związany z żądaniami ASGI, które mogły ominąć limit `DATA_UPLOAD_MAX_MEMORY_SIZE` w przypadku brakującego lub niedostatecznego nagłówka `Content-Length`. To pozwalało zdalnym atakującym na załadowanie nieograniczonego ciała żądania do pamięci.

W bibliotece LibRaw w funkcji x3f_load_huffman występuje podatność przepełnienia bufora sterty. Specjalnie spreparowany złośliwy plik może spowodować przepełnienie bufora sterty.

W bibliotece LibRaw w funkcji uncompressed_fp_dng_load_raw występuje podatność na przepełnienie bufora w wyniku przepełnienia całkowitego. Złośliwie przygotowany plik może prowadzić do przepełnienia bufora na stercie.

W bibliotece LibRaw występuje podatność na przepełnienie bufora w sterowniku deflate_dng_load_raw. Złośliwie przygotowany plik może prowadzić do przepełnienia bufora na stercie.

W komponentach `AgentFlows` w wersjach mintplex-labs/anything-llm do 1.9.1 występuje podatność na traversję ścieżek. Problem wynika z niewłaściwego przetwarzania danych wejściowych użytkownika w metodach `loadFlow` i `deleteFlow`, co pozwala atakującym na obejście ograniczeń katalogowych i dostęp do dowolnych plików `.json` na serwerze.

Podatność w kliencie produkcyjnym Apache Kafka Java polega na wyścigu w zarządzaniu pulą buforów, co może powodować ciche dostarczanie wiadomości do niewłaściwych tematów. Problem został rozwiązany w nowszych wersjach.

Podatność w komponencie Graphics: WebGPU przeglądarki Firefox i klienta poczty Thunderbird wynika z nieprawidłowych warunków brzegowych. Luka została naprawiona w wersjach 149.0.2 obu produktów.

W komponencie Graphics: Text przeglądarki Firefox i klienta poczty Thunderbird wykryto nieprawidłowe warunki brzegowe oraz przepełnienie liczb całkowitych. Luka została załatana w wersjach Firefox 149.0.2, Firefox ESR 140.9.1, Thunderbird 149.0.2 oraz Thunderbird 140.9.1.

Podatność nieprawidłowej walidacji certyfikatu w module public_key Erlang OTP (pubkey_ocsp) umożliwia ominięcie autoryzacji wyznaczonego respondenta OCSP poprzez brak weryfikacji podpisu. Atakujący może przechwycić odpowiedzi OCSP i sfałszować je, oznaczając odwołane certyfikaty jako ważne.

Zidentyfikowano podatność w interfejsie graficznym (GUI) HPE Aruba Networking Private 5G Core On-Prem, która może pozwolić atakującemu na wykorzystanie podatności na otwarte przekierowanie w procesie logowania za pomocą spreparowanego URL. Udane wykorzystanie może przekierować uwierzytelnionego użytkownika na serwer kontrolowany przez atakującego, który hostuje fałszywą stronę logowania.

Podatność w Dolibarr ERP/CRM przed wersją 23.0.2 umożliwia uwierzytelnionym atakującym z uprawnieniami administratora zdalne wykonanie kodu. Problem leży w funkcji dol_eval_standard(), która nie sprawdza zakazanych ciągów znaków w trybie białej listy i nie wykrywa składni dynamicznego wywoływania kodu PHP.

W Checkmk 2.2.0 (EOL), 2.3.0 przed 2.3.0p46, 2.4.0 przed 2.4.0p25 oraz 2.5.0 (beta) przed 2.5.0b3 występuje lokalna eskalacja uprawnień. Użytkownik witryny może podnieść swoje uprawnienia do poziomu roota, manipulując plikami w kontekście witryny, które są przetwarzane podczas uruchamiania polecenia administracyjnego `omd` przez roota.

Tinyproxy do wersji 1.11.3 jest podatny na desynchronizację parsowania żądań HTTP z powodu porównywania nagłówka Transfer-Encoding z uwzględnieniem wielkości liter w src/reqs.c. Funkcja is_chunked_transfer używa strcmp do porównania wartości nagłówka z "chunked", mimo że RFC 7230 określa, że nazwy transfer-coding są niewrażliwe na wielkość liter.