Katalog podatności CVE

Niekompletna walidacja ścieżek wpisów rozpakowywanego archiwum w logice ekstrakcji tar w ast-cli na Linux i macOS (używanej przy instalacji Vorpal ASCA i SCA Resolver) pozwala złośliwemu archiwum tar z wpisami o ścieżkach absolutnych lub traversal zapisywać pliki poza katalogiem instalacji. Kompilacje Windows nie były dotknięte, ponieważ ekstraktor Windows wykonuje tę walidację ścieżek.

CloudPirates Open Source Helm Charts to kolekcja wykresów Helm. Przed commitem 271d415 workflow pull_request_target jest podatny na zatruwanie pamięci podręcznej i kradzież tokenów OIDC. Workflow pull_request_target sprawdza kod forka przy użyciu github.event.pull_request.head.sha lub .head.ref, co daje kodowi kontrolowanemu przez atakującego dostęp do sekretów i tokenów repozytorium bazowego. Workflow zapisuje do współdzielonej pamięci podręcznej Actions, a kolejny workflow wydania przywraca z tego samego zakresu, pozwalając zatrutemu wpisowi wykonać się podczas wydania.

fpdf2 to biblioteka do tworzenia PDF w Pythonie. Od wersji 2.5.0 do 2.8.8 metoda SVGObject.build_xref() przekazuje zagnieżdżone referencje SVG <use> do GraphicsContext.add_item(), którego domyślne zachowanie clone=True głęboko kopiuje całe drzewo grafiki podczas przetwarzania FPDF.image(). Powtarzanie referencji na każdym poziomie zagnieżdżenia powoduje wykładniczy wzrost liczby obiektów w pamięci i pracy przetwarzania, pozwalając małemu SVG kontrolowanemu przez użytkownika zużyć nadmierne CPU i pamięć, wywołać MemoryError, przerwać zadania generowania PDF i wyczerpać zdolność workerów. ResourceAccessPolicy nie zapobiega problemowi, ponieważ referencje są wbudowane i nie wymagają zewnętrznych zasobów.

Biblioteka fpdf2 przed wersją 2.8.8 automatycznie pobiera obrazy z adresów HTTP(S) oraz ścieżek lokalnych podanych przez atakującego, m.in. przez FPDF.image(), FPDF.write_html() oraz pola szablonów. Może to powodować wychodzące żądania do wybranych przez atakującego usług wewnętrznych lub zewnętrznych oraz próby otwarcia plików lokalnych.

PhpSpreadsheet przed wersjami 1.30.7, 2.1.19, 2.4.8, 3.10.8 i 5.10.0 waliduje tylko początkowy adres URL zewnętrznego obrazu, nie stosując walidacji do przekierowań. Dozwolony host obrazu może przekierować serwer na adres wewnętrzny, powodując ślepe żądanie GET do wewnętrznych punktów końcowych, sieci lub metadanych chmury.

Brak kontroli autoryzacji w KNIME Business Hub przed wersją 1.19.0 pozwala każdemu posiadającemu dostęp do "linku bez logowania" dla DataApp na listowanie i potencjalny dostęp do zadań innych użytkowników utworzonych przez ten sam link. Problem dotyczy nieprawidłowego sprawdzania uprawnień.

Pylint od wersji 0.15.2 do 4.0.9 przechowuje statystyki modułów w przewidywalnych plikach w PYLINT_HOME i ładuje je za pomocą pickle.load przy kolejnym uruchomieniu. Atakujący mogący zapisać w współdzielonym lub niezaufanym katalogu pamięci podręcznej może zastąpić plik statystyk spreparowanymi danymi, powodując wykonanie dowolnego kodu z uprawnieniami użytkownika uruchamiającego Pylint.

draw.io Desktop przed wersją 31.4.4 jest podatny na ujawnienie dowolnych plików lokalnych poprzez czytające handlery IPC w procesie głównym Electron. Akcje readFile, getFileDrafts, getBkpFile, fileStat, isFileWritable, checkFileExists i watchFile działają na ścieżce wybranej przez renderer bez autoryzacji assertWritablePath, co pozwala na odczyt plików, do których zapis jest zabroniony.

Zbyt szczegółowe komunikaty błędów w funkcjonalności katalogu KNIME Business Hub przed wersją 1.18.5 mogą pozwolić uwierzytelnionemu zdalnemu atakującemu na zobaczenie nazw przepływów pracy, jeśli znane jest ich ID. Problem dotyczy wycieku informacji poprzez komunikaty błędów.

Wada w mechanizmie zapobiegania cross-site request forgery (CSRF) w KNIME Business Hub przed wersją 1.19.0 pozwala uwierzytelnionemu atakującemu na przeprowadzenie ataku CSRF przy pasywnej interakcji użytkownika. Stan zasobu może zostać zmieniony bez wiedzy użytkownika.

Problem nadmiernej alokacji zasobów w funkcjonalności zdalnej edycji przepływów pracy KNIME Business Hub przed wersją 1.19.0 pozwala uwierzytelnionemu atakującemu na wyczerpanie zasobów serwera. Prowadzi to do okresowej niedostępności funkcji wykonywania przepływów pracy.

OpenTelemetry Python przed wersją 1.45.1 zawiera funkcję TraceState.from_header, która parsuje przychodzące nagłówki W3C tracestate za pomocą wyrażenia regularnego z nieograniczoną opcjonalną białą spacją. Złośliwy nagłówek z długim ciągiem spacji lub tabulatorów bez przecinka powoduje kwadratowe cofanie, prowadząc do nadmiernego zużycia CPU przy jednym nieuwierzytelnionym żądaniu.

W Devolutions Server w wersjach 2026.3.5.0–2026.3.10.0 oraz 2026.2.20.0 i wcześniejszych brakuje kontroli autoryzacji w punkcie końcowym importu komputerów AD w module PAM. Uwierzytelniony użytkownik bez uprawnień administracyjnych, posiadający licencję PAM, może tworzyć poddostawców PAM w ramach istniejących dostawców AD za pomocą spreparowanego żądania importu.

W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje nieprawidłowa autoryzacja przy generowaniu tokenów Devolutions Gateway. Uwierzytelniony atakujący bez uprawnień administracyjnych może ominąć reguły dostępu sieciowego wirtualnego gatewaya i dotrzeć do zabronionych hostów poprzez dodatkowe miejsca docelowe z symbolami wieloznacznymi podpisane w tokenie gatewaya.

W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje niewystarczająca ochrona informacji wrażliwych w punkcie końcowym listy użytkowników. Uwierzytelniony atakujący z delegowanymi uprawnieniami do przeglądania użytkowników może uzyskać sekrety MFA wszystkich użytkowników poprzez odpowiedź API listy użytkowników.

Problem w routerze SKYWORTH SK-WR6640X Wi-Fi 6 Dual-Band Fiber Router (AX1800M) w wersji V1.0.3 pozwala zdalnemu atakującemu uzyskać poufne informacje poprzez plik hidden_factory_switch.gch.

OCO-Server przed wersją 1.2.3 pozwala użytkownikowi Self-Service Portal z uprawnieniami do tworzenia kontenerów zadań i odczytu komputera oraz pakietu na zakolejkowanie zadania odinstalowania bez uprawnień do wdrożenia. Pętla sprawdzania uprawnień nie usuwa odrzuconych identyfikatorów, a następnie przekazuje oryginalną listę do funkcji odinstalowania, która jest wykonywana w kontekście systemowym.

W Z-Wave SDK w wersji 8.1.1 i wcześniejszych specjalnie spreparowana komenda NCP SPI może wywołać odczyty poza granicami bufora, co prowadzi do wycieku poufnych informacji.

W Z-Wave SDK 8.1.1 i wcześniejszych (dla urządzeń serii 700/800) oraz 6.85.02 i wcześniejszych (dla urządzeń serii 500) brakujące sprawdzenia w obsłudze ZWAVE_CMD_NODES_EXIST mogą spowodować usunięcie węzłów z sieci. Komunikaty muszą pochodzić od urządzenia, które już dołączyło do sieci.

crawlseo przed wersją 0.2.4 zawiera podatność typu server-side request forgery w silniku crawlera, gdzie isPrivateIp() nie blokuje zarezerwowanych zakresów IP, takich jak RFC 6598 Carrier-Grade NAT, RFC 6890, zakresy TEST-NET i niektóre adresy IPv6, a dodatkowo nie przypina zweryfikowanego adresu do rzeczywistego połączenia wychodzącego, co umożliwia obejście przez DNS rebinding (TOCTOU). Uwierzytelniony atakujący może dodać złośliwą domenę wskazującą na adres wewnętrzny lub zastrzeżony, wywołać crawl do usług wewnętrznych lub punktów metadanych chmury, takich jak 169.254.169.254, i odczytać tytuł, opis, nagłówki, kod statusu i linki pobranej strony przez API wyników crawla, umożliwiając rekonesans sieci wewnętrznej.