CVE Vulnerability Catalog

Nodemailer resolves an international (IDN / non-ASCII) recipient domain to a different Punycode label than every UTS-46-conformant parser (web browsers, WHATWG URL Standard, Node's url.domainToASCII, Python's idna). Its address normalizer (_normalizeAddress) may lead to incorrect domain resolution, enabling phishing or message misdirection.

A vulnerability in the libheif library used by sharp (which Next.js uses for image optimization) can lead to remote code execution when AVIF files are optimized. Until a fix has propagated, optimization of AVIF files is disabled.

A vulnerability in mysql2 (in lib/compressed_protocol.js, line 43) where zlib.inflate is used to decompress packets. When a connection is created with compress: true and the server advertises CLIENT_COMPRESS, each incoming packet is decompressed without limits, potentially leading to excessive memory usage or DoS.

Improper input validation in Intel PROSet/Wireless WiFi software for Linux before version 23.20 may allow an unauthenticated user to potentially enable denial of service via adjacent access.

Out-of-bounds write in Intel PROSet/Wireless WiFi software before version 22.140 may allow an unauthenticated user to potentially enable denial of service via adjacent access.

Improper input validation in Intel PROSet/Wireless WiFi software before version 23.20 may allow an unauthenticated user to potentially enable denial of service via adjacent access.

rack-proxy versions 1.0.0 through 1.0.2 can forward an incorrect Content-Length when a backend response contains both Transfer-Encoding and Content-Length headers. Net::HTTP removes chunked framing from the body, while rack-proxy strips Transfer-Encoding but retains the backend-supplied Content-Length.

Wykryto słabość w LibTIFF 4.7.0, która dotyczy funkcji main w pliku tiffcrop.c komponentu tiffcrop. Manipulacja tą funkcją może prowadzić do uszkodzenia pamięci.

Wersja atop do 2.11.0 pozwala lokalnym użytkownikom na wywołanie odmowy usługi (np. awaria asercji i zakończenie aplikacji) lub potencjalnie inny nieokreślony wpływ, gdy różni użytkownicy uruchamiają atop oraz nieuprzywilejowane procesy.

Jest to podatność na niekontrolowane zużycie zasobów (CWE-400), która może prowadzić do ataku typu Denial of Service (DoS). W podatnych wersjach Undici, gdy włączona jest funkcja interceptors.deduplicate(), dane odpowiedzi dla zduplikowanych żądań mogą być gromadzone w pamięci dla dalszych handlerów.

Niewystarczające zabezpieczenie danych dostarczanych przez użytkownika w mod_ssl w Apache HTTP Server 2.4.63 i wcześniejszych wersjach pozwala na wprowadzenie znaków ucieczki do plików dziennika przez nieufnego klienta SSL/TLS w niektórych konfiguracjach.

Graphviz w wersjach od 2.36.0 do 9.x przed 10.0.1 ma podatność na odczyt poza przydzielonym zakresem za pomocą spreparowanego pliku config6a. Warto zauważyć, że możliwość wykorzystania tej podatności może być rzadko spotykana, ponieważ plik ten jest zazwyczaj własnością użytkownika root.

Problem z kodowaniem substytucyjnym w mod_rewrite w Apache HTTP Server 2.4.59 i wcześniejszych wersjach umożliwia atakującemu wykonywanie skryptów w katalogach dozwolonych przez konfigurację, ale niedostępnych bezpośrednio przez jakikolwiek URL, co może prowadzić do ujawnienia skryptów przeznaczonych do wykonywania jako CGI.

W QEMU w wersji do 5.1.0 odkryto problem związany z dostępem do pamięci poza przydzielonym zakresem. Błąd ten występuje w procedurze ati_2d_blt() podczas obsługi operacji zapisu MMIO przez funkcję zwrotną ati_mm_write().

Podatność CVE-2024-42516 dotyczy rozdzielania odpowiedzi HTTP w rdzeniu serwera Apache HTTP. Atakujący, który może manipulować nagłówkami odpowiedzi Content-Type aplikacji hostowanych lub proxy przez serwer, może rozdzielić odpowiedź HTTP.

Podatność CVE-2026-1527 pozwala atakującemu na wstrzyknięcie sekwencji CRLF ( ) poprzez kontrolowany przez użytkownika input w opcji upgrade metody client.request(). Może to prowadzić do wstrzykiwania dowolnych nagłówków HTTP oraz przedwczesnego zakończenia żądania HTTP, co umożliwia przesyłanie surowych danych do usług nie-HTTP, takich jak Redis, Memcached czy Elasticsearch.

node-tar to pełnoprawne narzędzie Tar dla Node.js. Przed wersją 7.5.11, tar (npm) może być oszukany w celu utworzenia symlinków wskazujących poza katalog ekstrakcji, co umożliwia nadpisywanie plików poza bieżącym katalogiem roboczym.

W QEMU w wersji 4.2.0 występuje podatność, która pozwala użytkownikom systemu gościa na wywołanie dostępu poza granice, poprzez podanie adresu blisko końca przestrzeni konfiguracyjnej PCI.

W repozytorium GitHub vim/vim przed wersją 9.0.1402 występuje podatność związana z dereferencją wskaźnika NULL. Może to prowadzić do nieprzewidzianego zachowania aplikacji.

W wersjach GNU Binutils przed 2.40 odkryto podatność na nadmierne zużycie pamięci w funkcji bfd_dwarf2_find_nearest_line_with_alt w pliku dwarf2.c. Atakujący może dostarczyć spreparowany plik ELF, co może prowadzić do ataku DNS.