Katalog podatności CVE

W wielu lokalizacjach istnieje możliwość wykonania kodu z powodu przepełnienia liczby całkowitej. Prowadzi to do lokalnej eskalacji uprawnień bez dodatkowych uprawnień i bez interakcji użytkownika.

Krytyczna podatność w produkcie Oracle Payments (część Oracle E-Business Suite) w wersjach 12.2.3-12.2.15. Nieuwierzytelniony atakujący przez sieć HTTP może przejąć kontrolę nad systemem bez żadnych uprawnień.

Nx Console, interfejs użytkownika dla Nx i Lerna, miał złośliwą wersję 18.95.0, która była dostępna przez około 18 minut w Visual Studio Marketplace oraz przez około 36 minut w OpenVSX. Użytkownicy powinni zaktualizować do wersji 18.100.0, która nie jest skompromitowana.

Starlette to lekki framework ASGI. Przed wersją 1.0.1 nagłówek HTTP Host nie był walidowany przed użyciem do rekonstrukcji request.url. Ponieważ algorytm routingu opiera się na surowej ścieżce HTTP, a request.url jest odtwarzany z nagłówka Host, zniekształcony nagłówek może spowodować, że request.url.path będzie różnić się od faktycznie żądanej ścieżki. Middleware i punkty końcowe stosujące ograniczenia bezpieczeństwa oparte na request.url (zamiast surowej ścieżki scope) mogą zostać ominięte.

Wtyczka Mirasvit Full Page Cache Warmer dla Magento 2 przed wersją 1.11.12 zawiera podatność na wstrzykiwanie obiektów PHP, która pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu poprzez dostarczenie spreparowanego, serializowanego obiektu PHP w ciasteczku CacheWarmer. Atak wykorzystuje nieograniczone wywołanie natywnej funkcji unserialize() oraz łańcuchy gadżetów dostępne w Magento.

W jądrze Linuxa podczas łączenia pakietów w funkcji skb_try_coalesce() nie jest propagowany znacznik SKBFL_SHARED_FRAG, co narusza niezmiennik wymagany przez późniejsze operacje zapisu w miejscu. Może to prowadzić do błędów w przetwarzaniu ESP, gdzie dane są odszyfrowywane w miejscu na fragmencie pamięci podręcznej stron.

Deserializacja niezaufanych danych w Microsoft Office SharePoint pozwala autoryzowanemu atakującemu na zdalne wykonanie kodu przez sieć.

Podatność na iniekcję komend w urządzeniach UniFi OS. Nieprawidłowe walidowanie danych wejściowych umożliwia atakującemu z dostępem do sieci wykonanie dowolnych komend systemowych.

Podatność na Path Traversal w urządzeniach UniFi OS. Atakujący z dostępem do sieci może odczytać pliki systemowe i potencjalnie uzyskać dostęp do konta użytkownika.

Podatność na nieprawidłową kontrolę dostępu w urządzeniach UniFi OS. Atakujący z dostępem do sieci może dokonywać nieautoryzowanych zmian w systemie.

Podatność typu directory traversal w serwerze Apex One (wersja on-premise) umożliwia przedautoryzowanemu lokalnemu atakującemu modyfikację tabeli kluczy na serwerze w celu wstrzyknięcia złośliwego kodu, który zostanie wdrożony na agentach. Atak wymaga dostępu do serwera Apex One i uzyskania wcześniej poświadczeń administracyjnych inną metodą.

Podatność na eskalację uprawnień w wtyczce LiteSpeed User-End cPanel Plugin przed wersją 2.4.5. Atakujący może uzyskać uprawnienia roota. Podatność jest aktywnie wykorzystywana w środowisku naturalnym.

Podatność na iniekcję SQL w rdzeniu Drupala. Nieprawidłowe neutralizowanie specjalnych elementów w zapytaniach SQL umożliwia atakującemu wykonanie dowolnych poleceń SQL.

Podatność w Microsoft Defender prowadząca do odmowy usługi (DoS).

Podatność w Microsoft Defender polegająca na nieprawidłowym rozwiązywaniu dowiązań przed dostępem do pliku („podążanie za dowiązaniem”) umożliwia autoryzowanemu atakującemu lokalną eskalację uprawnień.

Atak na łańcuch dostaw wpłynął na oficjalne pakiety instalacyjne DAEMON Tools Lite w wersjach 12.5.0.2421 do 12.5.0.2434, dystrybuowane z legalnej strony daemon-tools.cc w okresie od 8 kwietnia 2026 do 5 maja 2026. Napastnicy uzyskali nieautoryzowany dostęp do infrastruktury budowy lub dystrybucji dostawcy i zainfekowali trzy pliki binarne.

W Microsoft Exchange Server występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do podatności na ataki typu 'cross-site scripting'. Taki błąd umożliwia nieautoryzowanemu atakującemu przeprowadzenie oszustwa w sieci.

W podatności CVE-2026-20182 zidentyfikowano problem z mechanizmem uwierzytelniania w Cisco Catalyst SD-WAN Controller, Manager i Validator, który umożliwia nieautoryzowanemu atakującemu ominięcie uwierzytelnienia i uzyskanie uprawnień administracyjnych. Atakujący może wykorzystać tę lukę, wysyłając spreparowane żądania do systemu.

W podatności CVE-2026-0257 występują luki w autoryzacji w portalu GlobalProtect oraz bramie oprogramowania PAN-OS® firmy Palo Alto Networks, które umożliwiają atakującemu ominięcie zabezpieczeń i nawiązanie nieautoryzowanego połączenia VPN.

W dniu 11 maja 2026 roku opublikowano 84 złośliwe wersje w 42 pakietach @tanstack/* w rejestrze npm. Atakujący wykorzystał trzy znane klasy podatności, aby opublikować złośliwe oprogramowanie kradnące dane uwierzytelniające pod zaufaną tożsamością.