Katalog podatności CVE

DRIMO CMS jest podatny na refleksyjny atak XSS poprzez parametr q w funkcjonalności wyszukiwania. Atakujący może przygotować URL, który po otwarciu skutkuje wykonaniem dowolnego kodu JavaScript w przeglądarce ofiary.

W operatorze OpenShift Cluster Logging wykryto brak autoryzacji przy przekazywaniu tokenów ServiceAccount. Operator tworzy i wysyła tokeny do miejsc docelowych bez weryfikacji, czy twórca ClusterLogForwarder ma uprawnienia do ich użycia.

Hono przed wersją 4.12.12 nie weryfikuje nazw ciasteczek w funkcjach setCookie(), serialize() i serializeSigned(), co pozwala na użycie nieprawidłowych znaków, takich jak znaki kontrolne. Może to prowadzić do błędnych wartości nagłówków Set-Cookie.

Grav przed wersją 2.0.0-beta.2 zawiera podatność na wstrzykiwanie zewnętrznych jednostek XML (XXE) w procesie przesyłania plików SVG, co pozwala uwierzytelnionym atakującym na odczyt dowolnych plików. Aplikacja używa funkcji simplexml_load_string bez wyłączenia ładowania zewnętrznych jednostek, co umożliwia atakującym wstrzykiwanie ładunków XXE za pomocą złośliwych plików SVG.

W ImageMagick przed wersjami 7.1.2-15 i 6.9.13-40 występuje wyciek pamięci w pliku coders/txt.c podczas przetwarzania plików TXT z atrybutami tekstury. Obiekt tekstury alokowany przez ReadImage nie jest zwalniany, gdy funkcja GetTypeMetrics zawiedzie, co powoduje wyciek pamięci przy każdym przetworzeniu spreparowanego pliku TXT z atrybutem tekstury.

Nuxt w wersjach 4.0.0 przed 4.4.7 oraz 3.18.0 przed 3.21.7, działając na serwerze deweloperskim (nuxt dev) w systemie Linux, wiąże serwer IPC vite-node z gniazdem Unix w abstrakcyjnej przestrzeni nazw bez ograniczeń dostępu, co pozwala lokalnym użytkownikom na enumerację i połączenie.

Crawl4AI przed wersją 0.8.7 zawiera podatność na trwały skrypt między witrynami (stored XSS) w panelu monitorowania. Panel renderuje adresy URL i komunikaty błędów za pomocą innerHTML bez odpowiedniego kodowania, co pozwala atakującemu na przesłanie spreparowanego żądania indeksowania zawierającego złośliwy kod. Kod ten wykonuje się w przeglądarce operatora podczas przeglądania panelu.

Capgo przed wersją 12.128.2 zawiera podatność na walidację poświadczeń w punkcie końcowym POST /functions/v1/private/validate_password_compliance, który można wywołać tylko za pomocą publicznego klucza Supabase bez uwierzytelnienia. Punkt końcowy jest zgodny z CORS i nie ma ograniczeń dotyczących liczby żądań, co umożliwia atakującym przeprowadzanie ataków typu password spraying i credential stuffing.

Wtyczka ProfileGrid dla WordPressa zawiera podatność na trwałe ataki XSS poprzez parametr 'pm_author_message' w funkcji pm_send_message_to_author. Problem występuje we wszystkich wersjach do 5.9.9.2 włącznie i wynika z niedostatecznego oczyszczania danych wejściowych oraz braku kodowania wyjścia.

W podatności CVE-2026-10857 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do podatności na ataki typu Reflected XSS w oprogramowaniu e-Commerce firmy AKIN Software.

Rejestr Open VSX nie sanitizuje plików SVG przesyłanych jako ikony rozszerzeń przed ich zapisaniem, co pozwala na publikację złośliwego rozszerzenia z ikoną SVG. To prowadzi do przechowywanego ataku XSS, gdy użytkownik odwiedza bezpośrednio URL ikony.

Wtyczka Frontend File Manager dla WordPressa do wersji 23.6 nie sanitizuje ani nie ucieka od nazwy pliku przesyłanej do punktu końcowego zmiany nazwy pliku, co prowadzi do podatności na przechowywane ataki Cross-Site Scripting.

Wtyczka Infility Global dla WordPressa przed wersją 2.15.20 nie sanitizuje ani nie waliduje parametrów orderby i order w wywołaniach admin page import_list(), url_detail() oraz file_detail(). To umożliwia uwierzytelnionym atakującym z dostępem na poziomie Edytora lub wyższym przeprowadzenie czasowego ślepego ataku SQL i wydobycie wrażliwych danych z bazy danych.

W OpenSSH wykryto podatność, która pozwala lokalnemu, nieuprzywilejowanemu atakującemu na przejęcie przekazywanych połączeń X11. Atak polega na wcześniejszym związaniu preferowanej abstrakcyjnej nazwy gniazda X, gdy przekazywanie X11 jest włączone i używane jest lokalne gniazdo UNIX. Udany atak może naruszyć poufność przekazywanego ruchu X11, w tym wrażliwą zawartość okien i dane wejściowe.

W OpenSSH wykryto podatność polegającą na podwójnym zwolnieniu pamięci w ścieżce klienta Diffie-Hellman Group Exchange (DH-GEX) podczas walidacji znanych grup w trybie FIPS. Złośliwy serwer SSH może wykorzystać tę wadę, przesyłając spreparowane parametry grupy DH-GEX, co prowadzi do zakończenia procesu klienta i odmowy usługi (DoS).

Sterownik systemu plików ext2 w Zephyr OS (subsys/fs/ext2) ufa polom de_rec_len i de_name_len w katalogach na dysku podczas przetwarzania bloku katalogu. Walidacja de_name_len jest nieskuteczna, co pozwala na odczyt do 263 bajtów poza bufor bloku, prowadząc do wycieku pamięci jądra, a de_rec_len równe 0 powoduje nieskończoną pętlę (odmowa usługi). Podatność dotyczy wersji od v3.5.0 do v4.4.0.

vLLM to silnik inferencji i serwowania dużych modeli językowych. W wersjach przed 0.23.1rc0, niekompletna poprawka dla CVE-2026-22778 pozwala na wyciek adresów pamięci w komunikatach błędów, co może prowadzić do ujawnienia informacji o pamięci w odpowiedziach do klientów.

vLLM to silnik wnioskowania i serwowania dla dużych modeli językowych. W wersjach przed 0.23.1rc0, walidacja temperatury używała operatorów porównania, które nieprawidłowo obsługiwały wartości NaN i dodatnią nieskończoność, co prowadziło do nieokreślonego zachowania lub błędów CUDA.

vLLM to silnik inferencji i serwowania dużych modeli językowych. W wersjach przed 0.23.1rc0, punkt końcowy /v1/audio/transcriptions ograniczał rozmiar przesyłanych plików skompresowanych, ale nie dekodowanych danych PCM, co mogło prowadzić do nadmiernego zużycia zasobów.

vLLM to silnik inferencji i serwowania dużych modeli językowych. W wersjach przed 0.22.0, kontrola wersji nie stosuje się konsekwentnie do wszystkich artefaktów ładowanych dla modelu, co może prowadzić do ładowania niezweryfikowanych komponentów.