Katalog podatności CVE

W Nuxt w wersjach od 3.11.0 do przed 3.21.6 oraz 4.0.0-alpha.1 do przed 4.4.6, a także w @nuxt/nitro-server w wersjach od 3.20.0 do przed 3.21.6 oraz 4.0.0-alpha.1 do przed 4.4.6, włączona opcja experimental.componentIslands powodowała, że pliki .server.vue w katalogu pages/ były automatycznie rejestrowane jako serwerowe wyspy. Żądania przez endpoint /__nuxt_island/:name renderowały komponent strony bez uruchamiania Vue Router, co skutkowało brakiem działania middleware tras.

W Nuxt w wersjach od 3.1.0 do przed 3.21.6 oraz od 4.0.0-alpha.1 do przed 4.4.6, a także w @nuxt/nitro-server w wersjach od 3.20.0 do przed 3.21.6 oraz od 4.0.0-alpha.1 do przed 4.4.6, punkt końcowy /__nuxt_island/* akceptuje parametry zapytania/ciała kontrolowane przez atakującego i renderuje komponenty wysp bez weryfikacji, czy hasz URL (<Name>_<hashId>.json) został rzeczywiście wydany dla tych danych wejściowych. Problem ten został naprawiony w wersjach 3.21.6 i 4.4.6.

W wersjach @nuxt/rspack-builder i @nuxt/webpack-builder od 3.15.4 do przed 3.21.6 oraz 4.0.0-alpha.1 do przed 4.4.6 występuje niekompletna poprawka dla GHSA-4gf7-ff8x-hq99. Kod źródłowy może zostać skradziony podczas pracy dewelopera, gdy serwer deweloperski jest powiązany z adresem innym niż loopback.

Nuxt to framework do tworzenia aplikacji webowych, który w wersjach od 3.4.3 do przed 3.21.6 oraz 4.0.0-alpha.1 do przed 4.4.6 ma problem z funkcją navigateTo(). Przy użyciu external: true generuje ona przekierowanie HTML z tagiem <meta http-equiv="refresh">, co pozwala na wstrzyknięcie złośliwego kodu.

System przechowuje nazwę użytkownika i hasło z formularza logowania po przesłaniu żądania. Może to umożliwić atakującemu z dostępem do platformy powrót do przeglądarki i wyświetlenie danych logowania.

Wersje Crypt::PBKDF2 przed 0.261630 dla Perla są podatne na ataki czasowe. Użycie wbudowanego porównania eq w Perlu może prowadzić do ujawnienia klucza pochodnego poprzez analizę różnic w czasie wykonania.

Quest Bot to otwartoźródłowy bot Discord, który przed wersją 1.1.8 pozwalał użytkownikom na wielokrotne tworzenie nowych kanałów biletowych bez ograniczeń. Nowa wersja nadal tworzy nowy bilet w bazie danych oraz kanał Discord dla każdego złożonego formularza biletu, nie sprawdzając, czy dany użytkownik ma już otwarty bilet.

iRM-IEI Remote Management opracowany przez IEI Integration Corp posiada lukę związaną z brakiem uwierzytelnienia, co pozwala nieautoryzowanym atakującym zdalnym na wykorzystanie określonej funkcjonalności w celu uzyskania częściowych informacji o konfiguracji systemu.

Podatność w JwsJsonContainerRequestFilter w Apache CXF może być wykorzystana do przetwarzania metadanych, które nie zostały uwierzytelnione przez akceptowany podpis. Może to ominąć założenie aplikacji, że akceptowane nagłówki Content-Type lub chronione nagłówki HTTP pochodzą z zweryfikowanego wpisu podpisu, i może wpłynąć na dalsze parsowanie encji JAX-RS lub sprawdzanie spójności podpisanych nagłówków. Zalecana aktualizacja do wersji 4.2.2, 4.1.7 lub 3.6.12.

Podatność CRLF injection w klasie OAuth2 AuthorizationUtils. Podczas konstruowania nagłówka odpowiedzi WWW-Authenticate parametr 'realm' jest łączony bez sanityzacji znaków CR i LF. Jeśli atakujący może kontrolować wartość realm, może wstrzyknąć dowolne nagłówki HTTP lub całkowicie rozdzielić odpowiedź HTTP. Zalecana aktualizacja do wersji 4.2.2, 4.1.7 lub 3.6.12.

Parametr 'clientId' z przychodzących żądań HTTP jest bezpośrednio łączony z komunikatami ostrzegawczymi logów serwera OAuth2 bez sanityzacji znaków kontrolnych. Pozwala to atakującemu na wstrzyknięcie dowolnej treści, w tym fałszywych wpisów logów, do plików logów serwera. Zalecana aktualizacja do wersji 4.2.2, 4.1.7 lub 3.6.12.

Podatność obejścia uwierzytelniania w usłudze OAuth2 TokenIntrospectionService w Apache CXF. Z powodu brakującego słowa kluczowego 'throw' w sprawdzeniu kontekstu bezpieczeństwa, punkt końcowy (/services/oauth2/introspect) może być dostępny dla każdego nieuwierzytelnionego atakującego sieciowego. Należy jednak zauważyć, że jest to zabezpieczenie tylko w przypadku, gdy ktoś zapomniał włączyć uwierzytelnianie na usłudze. Zalecana aktualizacja do wersji 4.2.2, 4.1.7 lub 3.6.12.

W QEMU w urządzeniu virtio-blk wykryto podatność polegającą na braku walidacji rozmiaru deskryptorów wejściowych przed zapisem danych. Uprzywilejowany gość może wysłać spreparowane żądanie SCSI, co prowadzi do zapisu poza dozwolonym obszarem w pamięci sterty hosta.

Komputer wirtualizacyjny iVEC-IEI opracowany przez IEI Integration Corp posiada podatność na atak typu Path Traversal, która umożliwia uwierzytelnionym zdalnym atakującym wykorzystanie tej podatności do tworzenia katalogów w niezamierzonych ścieżkach systemowych.

Komputer wirtualizacyjny iVEC-IEI opracowany przez IEI Integration Corp ma podatność na odczyt dowolnych plików, co pozwala zdalnym atakującym z uprawnieniami na dostęp do plików poza zamierzonym zakresem katalogów.

W oknie potwierdzenia połączenia w określonej funkcji PcSuite można obejść zabezpieczenia.

Podatność CVE-2026-9271 dotyczy określonego komponentu, który może być narażony na ataki. W szczególności, może prowadzić do nieautoryzowanego dostępu lub ujawnienia danych.

Heptabase, opracowany przez Hepta Platforms, ma podatność na ujawnioną niebezpieczną metodę lub funkcję, która pozwala nieautoryzowanym zdalnym atakującym wykorzystać techniki inżynierii społecznej do oszukania ofiary w celu otwarcia lub załadowania złośliwej strony internetowej w aplikacji Heptabase. To umożliwia uzyskanie nieautoryzowanego dostępu do uprawnień kamery i mikrofonu.

W podatności CVE-2026-48613 występuje luka typu SQL injection w migracji pól profilu phpBB, spowodowana niewłaściwym przetwarzaniem danych dostarczonych przez użytkowników. Umożliwia to wykonanie dowolnych zapytań SQL na forach phpBB, które zostały zaktualizowane z wersji wcześniejszych niż phpBB 3.3.8 i nie zostały jeszcze zaktualizowane do wersji 3.3.11 lub nowszej.

Obsługa atrybutów wirtualnych w Ping Identity PingDirectory w dotkniętych wersjach pozwala tylko autoryzowanym użytkownikom na wyczerpanie pamięci heap Java, gdy włączona jest historia ostatnich logowań i kopiowane są atrybuty wirtualne, które odnoszą się do wartości ds-privilege-name.