Katalog podatności CVE

W bibliotece pypdf przed wersją 6.14.0 wykryto podatność polegającą na możliwości stworzenia przez atakującego pliku PDF z wieloma uszkodzonymi strumieniami odnośników krzyżowych. Powoduje to długotrwałe odtwarzanie uszkodzonych wpisów tabeli odnośników, co prowadzi do nadmiernego obciążenia procesora i wydłużenia czasu przetwarzania.

W sterowniku Horde_Vfs_Smb biblioteki Horde Virtual File System (VFS) przed wersją 3.0.1 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Metoda _escapeShellCommand() nie oczyszcza sekwencji podstawiania poleceń, co pozwala uwierzytelnionym atakującym na wstrzykiwanie dowolnych poleceń powłoki poprzez kontrolowane przez użytkownika nazwy plików.

Podatność w bibliotece Mistune do parsowania Markdown w Pythonie przed wersją 3.3.0 pozwala na atak DoS przez wyczerpanie CPU. Dokument Markdown zawierający wiele powtarzających się lub różnych definicji linków referencyjnych powoduje kwadratową złożoność obliczeniową w pliku src/mistune/block_parser.py oraz obsłudze słownika ref_links.

Mistune to parser Markdown dla Pythona. Przed wersją 3.3.0, długie sekwencje poprawnie sformatowanych par podwójnych lub potrójnych gwiazdek wokół znaku powodują kwadratową złożoność obliczeniową w src/mistune/inline_parser.py, ponieważ parser skanuje do przodu w poszukiwaniu pasujących znaczników zamykających z każdego potencjalnego otwarcia, umożliwiając odmowę usługi przy domyślnym parsowaniu Mistune.

Podatność w bibliotece Mistune (parser Markdown dla Pythona) przed wersją 3.3.0 powoduje kwadratową złożoność obliczeniową podczas przetwarzania sekwencji zamkniętych tyld, znaków równości lub daszków w pluginach przekreślenia, zaznaczenia i wstawiania. Atakujący może wykorzystać to do wyczerpania zasobów CPU (odmowa usługi).

Podatność w bibliotece @opentelemetry/propagator-jaeger dla JavaScript przed wersją 2.9.0. Niezabezpieczone dekodowanie nagłówków HTTP uber-trace-id i uberctx-* za pomocą decodeURIComponent() pozwala nieuwierzytelnionemu atakującemu na zdalne wysłanie złośliwej wartości percent-encoded, co powoduje nieobsłużony błąd URIError i zatrzymanie procesu Node.js używającego JaegerPropagator jako aktywnego propagatora.

Biblioteka linkify-it przed wersją 5.0.2 zawiera podatność na atak typu ReDoS (Regular Expression Denial of Service). Walidator schematu mailto: wywoływany przez metody .test() i .match() może być aktywowany przy każdym wystąpieniu mailto: i skanować pozostałe dane wejściowe przez src_email_name w lib/re.mjs, powodując kwadratową złożoność obliczeniową O(n^2) na spreparowanym tekście użytkownika.

W bibliotece Immutable.js w wersjach przed 4.3.9 i 5.1.8 wykryto podatność w funkcjach List#set, List#setSize, List#setIn, List#updateIn oraz w funkcjonalnych set, setIn i updateIn. Błędna obsługa indeksu lub rozmiaru w zakresie od 2^30 do 2^31 w metodzie setListBounds w pliku src/List.js może prowadzić do nieskończonej pętli, niekontrolowanego przydziału pamięci lub cichego zawijania dużych wartości.

Astro w wersji 6.4.7 zawiera podatność polegającą na podejmowaniu decyzji autoryzacyjnych na częściowo zdekodowanej ścieżce URL po osiągnięciu limitu iteracyjnego dekodera. Późniejsze dopasowanie reguł przepisywania wykonuje dodatkową operację decodeURI(), co może umożliwić ominięcie zabezpieczeń i dostęp do chronionych tras.

Podatność w OpenClaw przed wersją 2026.5.28 umożliwia nadpisywanie poświadczeń dostawcy przez pliki dotenv w przestrzeni roboczej. Atakujący z niższym poziomem zaufania do skonfigurowanych ścieżek wejściowych mogą ujawnić wrażliwe dane i poświadczenia, które powinny pozostać w zaufanych granicach.

W systemach Unix otwieranie pliku w os.Root nieprawidłowo podąża za dowiązaniami symbolicznymi do lokalizacji poza Root, gdy ostatni komponent ścieżki jest dowiązaniem symbolicznym, a ścieżka kończy się na /. Na przykład 'root.Open("symlink/")' otworzy "symlink", nawet jeśli wskazuje on poza korzeń.

U-Boot przed wersją 2026.07-rc2 zawiera podatność na przepełnienie bufora w funkcji nfs_readlink_reply() (net/nfs-common.c) przy włączonym CONFIG_CMD_NFS, co pozwala złośliwemu lub skompromitowanemu serwerowi NFS na przepełnienie 2048-bajtowego bufora nfs_path_buff poprzez zwrócenie wielu względnych celów dowiązań symbolicznych bez walidacji skumulowanej długości.

Podatność w U-Boot do wersji 2026.04-rc3 w funkcji tcp_rx_state_machine() w net/tcp.c. Wysyłanie spreparowanego pakietu TCP SYN+ACK z manipulowanym polem data offset powoduje niedomiar liczby całkowitej, co prowadzi do awarii bootloadera i potencjalnego uszkodzenia pamięci.

OpenVPN Access Server w wersjach od 2.7.2 do 3.1.0 akceptuje gołe sekwencje znaków nowej linii w wartościach nagłówków HTTP, co umożliwia zdalnym atakującym przemycanie żądań HTTP (HTTP request smuggling) gdy serwer jest wdrożony za odwrotnym proxy.

W bibliotece Immutable.js przed wersjami 4.3.9 i 5.1.8 struktury danych Immutable.Map i Immutable.Set przechowują klucze o tym samym 32-bitowym skrócie w liniowo skanowanym zasobniku kolizji HashCollisionNode. Osoba atakująca kontrolująca klucze wstawiane do Mapy (np. przez Immutable.Map(obj), Immutable.fromJS(obj), state.merge(userObject) lub mergeDeep) może stworzyć wiele kolizyjnych kluczy, powodując degradację wydajności operacji wstawiania i wyszukiwania do nieproporcjonalnie wysokiego zużycia CPU.

Biblioteka node-tar przed wersją 7.5.18 zawiera podatność polegającą na akceptowaniu nagłówka tar z ujemną wartością rozmiaru wpisu zakodowaną w base-256. Powoduje to, że skaner archiwum nie robi postępów, wielokrotnie przetwarzając ten sam nagłówek.

Biblioteka node-tar przed wersją 7.5.19 nie ogranicza całkowitej ilości dekompresowanych danych, liczby wpisów ani współczynnika dekompresji podczas ekstrakcji i parsowania archiwów tar. Pozwala to na wykorzystanie małej, spreparowanej bomby gzip do wyczerpania miejsca na dysku i zasobów CPU.

js-yaml przed wersjami 3.15.1, 4.3.1 i 5.2.1 zawiera podatność na nadmierne zużycie procesora w obsłudze tagu !!omap w YAML11_SCHEMA. Funkcja omapTag.addItem() wykonuje liniowe skanowanie duplikatów kluczy przy każdej insercji, co powoduje zużycie CPU O(n^2) podczas parsowania spreparowanego dokumentu z mapą uporządkowaną. W wersjach 3 i 4 tag !!omap jest aktywny i domyślnie wykorzystywalny, w wersji 5 nie jest domyślnie używany.

Podatność w bibliotece js-yaml (JavaScript YAML parser i dumper) powoduje kwadratowy wzrost czasu CPU podczas przetwarzania dokumentów YAML zawierających łańcuch mapowań z kluczami scalania (merge keys). Problem występuje w wersjach od 3.0.0 do 3.14.0 oraz od 4.0.0 do 4.2.0.

Podatność w Socket.IO (wersje od 4.1.0 do 6.6.7) dotyczy protokołu Engine.IO v4 w transporcie polling. Nieprawidłowe zamykanie odpowiedzi HTTP dla nieprawidłowych binarnych żądań POST z Content-Type: application/octet-stream pozwala nieuwierzytelnionemu atakującemu wyczerpać połączenia i gniazda po stronie serwera.