Katalog podatności CVE

Mistune przed wersją 3.3.0 zawiera podatność nieefektywnej złożoności algorytmicznej w funkcji parse_link_text, która pozwala zdalnym atakującym wywołać odmowę usługi poprzez niezbalansowane nawiasy kwadratowe. Atakujący może przesłać Markdown zawierający długie ciągi niedopasowanych nawiasów do mistune.html(), wywołując powtarzające się skanowania w przód, które blokują procesy robocze na minuty.

Sterownik MongoDB C# nie neutralizuje znaków kropki i dolara w kluczach słowników, nazwach pól i identyfikatorach filtrów tablic używanych w zapytaniach LINQ przed umieszczeniem ich w ścieżkach pól wysyłanych do serwera. Użytkownik aplikacji, którego dane wejściowe trafiają do tych miejsc, może przekierować zapytanie lub aktualizację na pola, których aplikacja nie nazwała, co może ujawnić dokumenty innych użytkowników i rozszerzyć aktualizacje poza zamierzone dane. Niektóre wartości mogą również zapisywać nieprawidłowe pola, które pozostawiają przechowywane dokumenty nieczytelne dla aplikacji do czasu ich naprawy.

MessagePack to implementacja serializatora dla Python msgpack.org. Przed wersją 1.2.3 rozszerzenie C msgpack-python (msgpack._cmsgpack) wycieka zdekodowaną wartość mapy, gdy deserializacja odrzuca klucz z strict_map_key=True (domyślnie). Powtarzające się złośliwe dane wejściowe mogą powodować nieograniczony wzrost pamięci procesu i odmowę usługi w aplikacjach deserializujących dane MessagePack kontrolowane przez atakującego. Dotyczy to zarówno unpackb(), jak i strumieniowego API Unpacker. Czysto pythonowy fallback nie wykazuje tego wycieku w zgłoszonych testach. Problem naprawiono w wersji 1.2.3.

W aplikacji Roskus Prospero Flow CRM (wersje 2.0.0–5.26.0) brakuje autoryzacji w API użytkownika. Użytkownik z podstawową rolą może odczytać konta innych użytkowników swojej firmy (w tym o wyższych uprawnieniach), a od wersji 3.5.0 także je usuwać, ponieważ trasy GET i DELETE /api/user/{id} wymagają jedynie ważnego tokenu JWT, bez sprawdzania uprawnień.

Interfejs webowy Agent Zero przed wersją 1.15 nieprawidłowo oczyszcza dane wejściowe użytkownika w wiadomościach czatu i przesyłanych plikach. Gdy Agent Zero wyświetla treść w interfejsie czatu, wstrzyknięty JavaScript jest wykonywany w kontekście uwierzytelnionej sesji ofiary.

W Canonical Juju w wersjach 4.0–4.0.15 brakuje autoryzacji w trasie pobierania zasobów jednostki. Uwierzytelniony podmiot kontrolera (agent jednostki lub użytkownik z uprawnieniem tylko do logowania) może odczytać zasoby charm dowolnej aplikacji w dowolnym modelu, w tym dane uwierzytelniające do rejestru kontenerów, poprzez spreparowane żądanie wskazujące dowolną jednostkę.

W ABB Ability Edgenius do wersji 3.2.3.0 występuje brak uwierzytelniania dla krytycznej funkcji. Luka pozwala na dostęp do funkcji wymagającej uwierzytelnienia bez jego przeprowadzenia.

SmileCDR HAPI FHIR pozwala niezaufanemu ciału bundle zastąpić tożsamość partycji ustanowioną wcześniej przez zaufane źródło i domyślnie nie egzekwuje uprawnień do partycji przechowywania. Atakujący upoważniony do jednego tenanta może czytać lub zapisywać dane w partycji innego tenanta.

SmileCDR HAPI FHIR nieprawidłowo obsługuje silnie skompresowane dane. Nieuwierzytelniony atakujący może wysłać skompresowane ładunki, które po dekompresji wyczerpują stertę serwera lub powodują awarię niektórych usług.

W bibliotece PhpSpreadsheet przed wersjami 1.30.7, 2.1.19, 2.4.8, 3.10.8 i 5.10.0 funkcja Ods::processTableRow przyjmuje nieograniczony atrybut table:number-rows-repeated z wiersza tabeli ODS. Gdy wiersz zawiera wartość, czytnik tworzy komórkę dla każdego powtórzenia bez sprawdzania limitu wierszy, więc mały plik ODS może zużyć dużo CPU i pamięci i zakończyć proces PHP.

W bibliotece PhpSpreadsheet przed wersjami 1.30.7, 2.1.19, 2.4.8, 3.10.8 i 5.10.0 funkcja XmlScanner::scan wykrywa DOCTYPE z uwzględnieniem bajtów NUL, ale nie sekwencji ucieczki ISO-2022 w częściach XML plików XLSX. Sekwencje te omijają skaner, a normalizacja kodowania usuwa bajty ucieczki przed parsowaniem, ujawniając prawidłowy DOCTYPE i definicje encji.

W bibliotece PhpSpreadsheet od wersji 3.3.0 do 3.10.8 i 5.10.0 czytnik Reader\Xml przepuszcza przechowywany XML SpreadsheetML przez XmlScanner::scan, a Xml::unentity dekoduje encje numeryczne dopiero po sprawdzeniu wzorca DOCTYPE. Podwójnie zakodowany znak mniejszości jest redukowany do dosłownego znaku mniejszości, więc SimpleXML otrzymuje niesprawdzony DOCTYPE i deklarację encji.

W GraphQL-core od wersji 3.2.3 do 3.2.12 i 3.3.0rc1 limit max_tokens parsera zlicza tylko tokeny niebędące komentarzami zwracane po pominięciu komentarzy przez Lexer.lookahead. Każdy pominięty komentarz jest nadal alokowany jako Token i zachowywany przez token.next i token.prev, więc dokument GraphQL wypełniony komentarzami może przejść niski limit tokenów, zużywając pamięć.

Biblioteka GraphQL-core w wersjach od 3.0.0 do 3.2.12 (oraz 3.3.0rc1) zawiera podatność na wyczerpanie zasobów (CPU) podczas walidacji zapytań. Reguła OverlappingFieldsCanBeMerged wielokrotnie porównuje pola o tych samych nazwach odpowiedzi i rekurencyjnie przetwarza spłaszczone fragmenty inline, co pozwala zagnieżdżonym powtórzonym fragmentom wywołać kwadratowe, a w najgorszym przypadku O(n²·m²) obciążenie CPU przed uruchomieniem jakiejkolwiek kontroli głębokości lub złożoności. Nieuwierzytelniony zdalny atakujący może wysłać płytkie, silnie kompresowalne zapytanie GraphQL, które zablokuje proces roboczy i przeciąży usługę wieloprocesową.

OpenCATS w wersjach przed 0.12.0 zawiera podatność typu stored XSS, która pozwala zalogowanemu użytkownikowi o niskich uprawnieniach wstrzyknąć ładunek HTML/JavaScript poprzez pole nazwy/tytułu Kandydata, Firmy, Kontaktu, Zlecenia pracy lub Listy. Wartość jest przechowywana bez sanityzacji i później renderowana bez escapowania w panelu nawigacji 'Recent' (MRU) wyświetlanym na niemal każdej stronie przez funkcję getFormatted() w lib/MRU.php. Atakujący może wykonać dowolny JavaScript w sesji innego użytkownika, w tym administratora witryny, co umożliwia kradzież sesji/cookies i eskalację do pełnej kontroli administracyjnej.

Nieprawidłowe kontrole autoryzacji w przetwarzaniu zapytań silnika Amazon Athena w wersji 3 mogły pozwolić uwierzytelnionemu użytkownikowi na odczyt identyfikatorów kont AWS oraz metadanych zapytań (tekstu SQL) należących do innych kont AWS. Wyniki zapytań oraz dane przechowywane w Amazon S3 lub innych źródłach danych nie były dostępne przez tę lukę. AWS naprawił problem 7 października 2026 r. i nie są wymagane żadne działania klientów.

dnspython w wersjach przed 2.9.0 zawiera podatność, w której funkcja dns.name.from_wire_parser podąża za kontrolowanymi przez atakującego łańcuchami wskaźników kompresji DNS bez limitu przeskoków. Złośliwa wiadomość w formacie wire DNS może wymusić nadmierne przechodzenie wskaźników podczas dekompresji nazw, powodując wysokie zużycie CPU, degradację aplikacji lub odmowę usługi w aplikacjach przetwarzających niezaufane wiadomości DNS. Problem naprawiono w wersji 2.9.0.

Wtyczka JetBackup dla WordPress w wersjach przed 3.1.24.10 zawiera podatność polegającą na zapisie dowolnych plików przez dowiązania symboliczne. Uwierzytelniony administrator WordPress może zapisać kontrolowaną przez atakującego treść pliku poza zamierzonym miejscem docelowym przywracania podczas importu i przywracania kopii zapasowej. Atakujący może przygotować archiwum kopii zapasowej zawierające dowiązanie symboliczne, które rozpakowanie podąża bez walidacji celów i bez wymuszania ograniczenia do katalogu docelowego, co może prowadzić do wykonania kodu po stronie serwera w zależności od zapisywalnego miejsca docelowego i konfiguracji serwera.

Next.js w wersjach od 13.0.0 do 15.5.28 oraz 16.4.1 zawiera podatność, w której spreparowane żądania skierowane do aplikacji App Router z co najmniej jedną Server Action mogą powodować nadmierne zużycie CPU i blokować przetwarzanie kolejnych żądań w tym samym procesie. Aplikacje korzystające z Pages Router oraz aplikacje App Router bez Server Actions nie są dotknięte. Problem naprawiono w wersjach 15.5.28 i 16.4.1.

W Webasyst Framework w wersji 4.0.3 i wcześniejszych występuje luka umożliwiająca zdalnemu atakującemu wykonanie dowolnego kodu. Wektorem ataku jest spreparowany adres URL autoryzacji OAuth z dowolnym parametrem redirect_uri.