Katalog podatności CVE

W sterowniku Wi-Fi w procesorach Samsung Exynos wykryto problem z synchronizacją zmiennej globalnej, prowadzący do użycia po zwolnieniu (use-after-free). Atakujący może wywołać wyścig poprzez równoczesne wywołanie funkcji ioctl z wielu wątków.

Podatność w routerze Totolink A7100RU w funkcji setScheduleCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem mode prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie.

W routerze Totolink A7100RU w wersji firmware 7.4cu.2313_b20191024 odkryto podatność polegającą na wstrzykiwaniu poleceń systemu operacyjnego. Problem występuje w funkcji CsteSystem pliku /cgi-bin/cstecgi.cgi, gdzie manipulacja argumentem resetFlags umożliwia zdalne wykonanie dowolnych poleceń. Exploit został opublikowany i może być wykorzystywany w atakach.

W Totolink A8000R w wersji 5.9c.681_B20180413 stwierdzono podatność w funkcji setLanguageCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem langType prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie.

Podatność w warstwie NAS (Non-Access Stratum) w procesorach Samsung Exynos i modemach pozwala na atak DoS poprzez nieprawidłowe przetworzenie pakietu DL NAS Transport. Problem dotyczy szerokiej gamy układów mobilnych, wearable i modemów Samsung.

W code-projects Simple IT Discussion Forum 1.0 stwierdzono podatność w pliku /edit-category.php w komponencie Parameter Handler. Manipulacja argumentem cat_id prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

OpenSTAManager przed wersją 2.10.2 zawiera podatność na iniekcję SQL w plikach confronta_righe.php w różnych modułach. Parametr righe otrzymany przez $_GET['righe'] jest bezpośrednio konkatenowany do zapytania SQL bez sanityzacji, parametryzacji ani walidacji.

Biblioteka defu przed wersją 6.1.5 jest podatna na zanieczyszczenie prototypu (prototype pollution) przez nieoczyszczone dane wejściowe przekazane jako pierwszy argument do funkcji defu(). Atakujący może użyć klucza __proto__ do nadpisania domyślnych wartości.

Kedro, narzędzie do produkcyjnej analizy danych, przed wersją 1.3.0 miało metodę _get_versioned_path(), która tworzyła ścieżki do systemu plików, interpolując dostarczone przez użytkownika ciągi wersji bez ich sanitizacji. To umożliwiało atakującym wykorzystanie sekwencji przejścia, takich jak ../, do ucieczki z zamierzonego katalogu zestawu danych.

Brave CMS to otwartoźródłowy system zarządzania treścią. W wersjach przed 2.0.6 występuje podatność na nieograniczone przesyłanie plików w funkcjonalności przesyłania CKEditor, która nie weryfikuje typów przesyłanych plików, co pozwala uwierzytelnionemu użytkownikowi na przesyłanie skryptów PHP i uzyskanie zdalnego wykonania kodu.

Tandoor Recipes to aplikacja do zarządzania przepisami, planowania posiłków i tworzenia list zakupów. W wersjach przed 2.6.4, punkt końcowy PUT /api/recipe/batch_update/ pozwalał każdemu uwierzytelnionemu użytkownikowi w danej przestrzeni na modyfikację dowolnego przepisu, w tym przepisów oznaczonych jako prywatne przez innych użytkowników.

BentoML to biblioteka Pythona do budowania systemów serwujących zoptymalizowanych dla aplikacji AI. W wersjach przed 1.4.38 funkcja generowania Dockerfile używała niezabezpieczonego środowiska Jinja2, co pozwalało na wykonanie złośliwego kodu Pythona na hoście, omijając izolację kontenerów.

BentoML to biblioteka Pythona do budowania systemów serwujących zoptymalizowanych dla aplikacji AI i wnioskowania modeli. W wersjach przed 1.4.38, ścieżka wdrożenia w pliku src/bentoml/_internal/cloud/deployment.py nie została uwzględniona w poprawce dla CVE-2026-33744, co prowadzi do możliwości wykonania zdalnego kodu na poziomie CI/CD.

W procesorach mobilnych Samsung, w tym Exynos 980, 990, 850, 1080 oraz innych, odkryto problem związany z niewłaściwym przetwarzaniem proaktywnych poleceń karty SIM. Może to prowadzić do awarii usługi (Denial of Service).

W procesorach mobilnych Samsung, w tym Exynos 980, 990, 850, 1080 i innych, odkryto problem związany z niewłaściwą inicjalizacją pamięci. Może to prowadzić do nielegalnego dostępu do pamięci i awarii systemu w wyniku złośliwego komunikatu RRCReconfiguration.

W systemie zarządzania studentami Cyber-III do wersji 1a938fa61e9f735078e9b291d2e6215b4942af3 odkryto podatność, która dotyczy nieznanego kodu w pliku /login.php komponentu Parameter Handler. Manipulacja argumentem Password prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

fast-jwt to szybka implementacja JSON Web Token (JWT). W wersjach 6.1.0 i wcześniejszych, fast-jwt nie weryfikuje parametru nagłówka crit (Kryty), co prowadzi do akceptacji tokenów JWS, które zawierają nieznane rozszerzenia, zamiast ich odrzucenia.

Ech0 to otwartoźródłowa platforma do publikacji, która przed wersją 4.2.8 pozwalała na przesyłanie dowolnego adresu URL przez parametr website_url w końcówce GET /api/website/title. Nie weryfikując hosta ani adresu IP, umożliwiała atakującym dostęp do wewnętrznych usług sieciowych oraz danych z metadanych chmurowych.

Ech0 to otwartoźródłowa platforma do publikacji, która przed wersją 4.2.8 implementowała podgląd linków poprzez nieautoryzowany dostęp do API. Wykorzystanie tej funkcji pozwalało atakującym na wysyłanie dowolnych URL-i, co prowadziło do niebezpiecznego zachowania serwera.

CVE-2026-35035 dotyczy aplikacji CI4MS, która nieprawidłowo sanitizuje dane wejściowe kontrolowane przez użytkownika w ustawieniach systemowych dotyczących informacji o firmie. Wersje przed 0.31.2.0 przechowują te dane na serwerze i renderują je bez odpowiedniego kodowania na publicznych stronach, co może prowadzić do ataków XSS.