Katalog podatności CVE

W systemie MailData Email Archiving System w wersji 4.2 i wcześniejszych występuje podatność typu SQL injection. Szczegóły techniczne nie zostały podane w opisie.

Biblioteka NetBox Device Type Library zawiera podatność deserializacji w narzędziu testowym, które ładuje pliki pickle kontrolowane przez autora pull requesta. Nieuwierzytelniony współtwórca może dostarczyć spreparowany plik pickle, co prowadzi do wykonania dowolnego kodu podczas uruchamiania testów pytest w GitHub Actions lub w procesie opiekuna projektu.

Biblioteka SAIL w wersji 0.9.10 i wcześniejszych zawiera błąd niezgodności trybu i głębi kolorów podczas wczytywania plików PSD w trybie Bitmap. Funkcja psd_private_sail_pixel_format() zwraca format jednobitowy, podczas gdy loader akceptuje głębię 8, co powoduje zapis poza buforem sterty i prowadzi do uszkodzenia pamięci, awarii lub potencjalnego wykonania kodu.

Biblioteka SAIL w wersji 0.9.10 i wcześniejszych zawiera niekompletną poprawkę podatności CVE-2026-40494 w ścieżce TGA_INDEXED_RLE. Bufor obrazu jest alokowany jako jednobajtowy na piksel, ale loader wylicza szerszy rozmiar piksela na podstawie kontrolowanej przez atakującego wartości bpp, co prowadzi do zapisu poza buforem sterty i uszkodzenia pamięci.

Obsidian Web MCP przed wersją 0.2.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu uzyskać kod autoryzacyjny bez logowania i wymienić go na statyczny token VAULT_MCP_TOKEN. Umożliwia to pełny dostęp do operacji na sejfie Obsidian, w tym odczyt, zapis, wyszukiwanie, przenoszenie i usuwanie plików.

GravitLauncher przed wersją 5.7.12 pozwala nieuwierzytelnionemu zdalnemu atakującemu na odczyt dowolnych plików z serwera plików LaunchServer poprzez wysłanie żądania HTTP bez wiodącego ukośnika. Umożliwia to dostęp do kluczy podpisywania, materiałów tokenów odświeżania i poświadczeń bazy danych.

Anyquery przed wersją 0.4.5 pozwala uwierzytelnionym użytkownikom z uprawnieniami INSERT lub UPDATE do wirtualnych tabel na macOS na wykonanie poleceń systemowych. Wtyczki Chrome, Brave, Edge i Safari interpolują kontrolowany przez SQL adres URL do skryptu AppleScript lub JXA przekazywanego do osascript.

Many Notes przed wersją 0.16.0 pozwala uwierzytelnionemu użytkownikowi na zapis dowolnych plików poza własnym sejfem podczas importu archiwum ZIP. Poprzez segmenty przejścia katalogów w nazwach plików atakujący może nadpisać pliki innych użytkowników i umieścić złośliwą zawartość SVG prowadzącą do przechowywanego XSS.

W jądrze Linux funkcja xfrm_dev_direct_output() zwalnia skb, gdy local_out() zwróci wartość inną niż 1, mimo że skb został już skonsumowany lub przekazany. Prowadzi to do podwójnego zwolnienia skb, gdy netfilter odrzuci pakiet.

W jądrze Linux w module IB/isert funkcja isert_recv_done() przekazywała odebrane PDU do handlerów bez sprawdzenia wc->byte_len, czyli liczby bajtów faktycznie zapisanych w deskryptorze odbioru. Inicjator mógł zadeklarować w nagłówku BHS dłuższy segment danych niż rzeczywiście wysłał, co prowadziło do odczytu poza granicami bufora (out-of-bounds read), a w ścieżce imm_data_len również do zapisu nadmiarowych danych z heapu do magazynu docelowego.

W jądrze Linux wykryto podatność w module IB/isert (iSER), która pozwala niezalogowanemu inicjatorowi na zadeklarowanie w pakiecie login PDU większej ilości danych, niż faktycznie wysłano. Prowadzi to do odczytu poza przydzielonym buforem (slab-out-of-bounds) przed procesem uwierzytelnienia, co może skutkować wyciekiem informacji lub awarią systemu.

W jądrze Linux w podsystemie sunrpc, funkcje xprtsock używają zwykłych operacji zapisu i odczytu dla współdzielonych wskaźników callbacków sk_data_ready i sk_write_space. Może to prowadzić do sytuacji, w której inny procesor używa nieaktualnego wskaźnika po przywróceniu oryginalnych callbacków. Poprawka dodaje READ_ONCE/WRITE_ONCE dla tych operacji.

W podsystemie nvmet jądra Linux funkcja nvmet_auth_negotiate() odczytuje dane poza zaalokowanym buforem (heap out-of-bounds read), ponieważ nie waliduje długości transferu (tl) ani wartości halen/dhlen przekazanych przez hosta. Złośliwy lub niezgodny host może podać zbyt małe tl lub zbyt duże halen/dhlen (do 255), powodując odczyt poza buforem. Poprawka przekazuje tl do funkcji i odrzuca nieprawidłowe wartości.

W jądrze Linux w module smb (smbdirect) kolejki ukończeń (completion queues) tworzone przez ib_alloc_cq_any() były zwalniane za pomocą ib_destroy_cq(), co nie anulowało wcześniej zakolejkowanej pracy ib_cq_poll_work(). Późno zgłoszone ukończenie (np. błąd RNR z Soft-RoCE/rxe) powodowało ponowne zakolejkowanie pracy na już zwolnionej kolejce i użycie zwolnionej pamięci (use-after-free).

W kliencie NFSv4 jądra Linux funkcja nfs4_alloc_client() przydziela identyfikator callback NFSv4.0 przed zakończeniem inicjalizacji klienta. Jeśli późniejszy krok zawiedzie, ścieżka błędu zwalnia nfs_client bezpośrednio przez nfs_free_client(), pomijając usunięcie wpisu z cb_ident_idr, co pozostawia wiszący wskaźnik do zwolnionego obiektu.

W jądrze Linux występuje podatność w systemie ograniczania szybkości inetpeer, który przechowuje wpisy w drzewie czerwono-czarnym kluczowanym deterministycznie na podstawie adresu IP. Atakujący z zewnątrz może przewidzieć strukturę drzewa i wymuszać usuwanie wybranych węzłów, co resetuje ich licznik ograniczania szybkości i pozwala obejść limity ICMP oraz wnioskować o otwartych portach UDP. Podatność naprawiono poprzez randomizację porównywania węzłów drzewa przy użyciu SipHash z tajnym kluczem.

W jądrze Linux w implementacji NFSv4.1 występuje błąd polegający na niezerowaniu list referring call przed dekodowaniem. Funkcja decode_cb_sequence_args() alokuje csa_rclists przez kmalloc_objs(), pozostawiając każdą referring_call_list niezainicjalizowaną, a decode_rc_list() przypisuje rcl_refcalls tylko gdy rcl_nrefcalls jest niezerowe. Prawidłowa lista z zerem referring calls pozostawia wskaźnik niezainicjalizowany, a nfs4_callback_sequence() przekazuje później nieaktualną zawartość slab do kfree().

Podatność w ash_authentication dotyczy strategii dynamic_oidc, która nie zapewnia prawidłowej separacji przestrzeni tożsamości między połączeniami. Atakujący kontrolujący jedno połączenie może zostać zalogowany jako lokalny użytkownik utworzony przez inne połączenie, ponieważ identyfikatory użytkowników nie są odpowiednio rozdzielane.

W pgAdmin 4 źródło uwierzytelniania 'webserver' miało podatność polegającą na tym, że funkcja WebserverAuthentication.get_user() w przypadku braku wartości w środowisku WSGI/CGI odczytywała nazwę użytkownika bezpośrednio z nagłówków HTTP przesyłanych przez klienta. W efekcie każdy klient mogący połączyć się z pgAdmin mógł podać własny nagłówek i zalogować się jako dowolny użytkownik, w tym istniejący Administrator, bez hasła. Problem dotyczy wersji od 6.2 do 9.18 i występuje tylko gdy w AUTHENTICATION_SOURCES włączone jest 'webserver'.

W ash_authentication występuje błędne uwierzytelnianie, które umożliwia atakującemu zalogowanie się jako inny użytkownik poprzez powiązanie swojej tożsamości OAuth2 z cudzym kontem. Atakujący może przypisać zweryfikowany e-mail do konta wybranego na podstawie innych atrybutów, co prowadzi do przejęcia sesji.