Katalog podatności CVE

W projekcie blender-mcp znaleziono podatność na wstrzykiwanie w funkcji Open pliku server.py. Manipulacja argumentem input_image_url może prowadzić do zdalnego wstrzyknięcia kodu. Exploit został ujawniony publicznie.

W bibliotece libwebsockets do wersji 4.5.8 znaleziono błąd w funkcji lws_ssh_parse_plaintext w pliku plugins/protocol_lws_ssh_base/sshd.c. Manipulacja argumentem msg_len może prowadzić do nadmiernego zużycia zasobów. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Stanowiska anestezjologiczne Dräger Zeus Infinity Empowered (Zeus IE) i Zeus RS C500 zawierają lokalną podatność bezpieczeństwa, która pozwala osobom nieupoważnionym z fizycznym dostępem naruszyć integralność oprogramowania poprzez manipulację interfejsem USB. Atakujący mogą wykorzystać niechronione interfejsy USB do zakłócenia funkcji terapeutycznych, manipulowania danymi przetwarzanymi przez urządzenie lub użycia urządzenia jako punktu przesiadkowego do szerszych ataków sieciowych, gdy jest podłączone do sieci lub Dräger Service Connect.

BrowserStack Runner do wersji 0.9.5 zawiera podatność na path traversal w domyślnym handlerze HTTP w pliku lib/server.js, która pozwala nieuwierzytelnionym atakującym w tej samej sieci na odczyt dowolnych plików. Atakujący mogą wykorzystać nieuwierzytelniony serwer HTTP nasłuchujący na wszystkich interfejsach, aby wyjść poza katalog projektu i uzyskać dostęp do wrażliwych plików.

Biblioteka CloudburstMC Protocol przed wersją 3.0.0.Beta12-20260420.182526-15 częściowo pomija walidację tokenów uwierzytelniających typu FULL, co wpływa na metody EncryptionUtils do walidacji ładunków uwierzytelniających.

W authentik przed wersją 2026.2.3, dostawca WS-Federation sprawdza parametr wreply za pomocą surowego porównania prefiksu, a nie poprawnego parsowania URL. Atakujący może dostarczyć link logowania z wreply na innym originie, który przejdzie kontrolę, powodując wysłanie odpowiedzi logowania WS-Federation do infrastruktury atakującego.

W SourceCodester Human Resource Management 1.0 stwierdzono podatność w pliku /detailview.php komponentu Employee View Page. Manipulacja argumentem employeeid prowadzi do nieprawidłowej kontroli identyfikatorów zasobów. Atak może być przeprowadzony zdalnie, a exploit został ujawniony.

Wtyczka ARMember Premium dla WordPressa do wersji 7.3.1 jest podatna na SQL Injection przez parametr 'sSortDir_0' w akcji AJAX get_private_content_data. Brak odpowiedniej sanityzacji powoduje, że parametr jest bezpośrednio łączony z klauzulą ORDER BY zapytania SQL. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta lub wyższym mogą wstrzykiwać dodatkowe zapytania SQL, aby wyodrębnić wrażliwe dane. Luka jest aktywna tylko przy włączonym dodatku "User Private Content" (domyślnie wyłączony).

FastNetMon Community Edition do wersji 1.2.9 zawiera odczyt poza zakresem w parserze pakietów IPv4. W pliku src/simple_packet_parser_ng.cpp, po walidacji, że pakiet zawiera co najmniej 20 bajtów, kod przesuwa wskaźnik o 4 * IHL bez sprawdzenia, czy IHL >= 5 i czy dostępne są odpowiednie bajty. IHL o wartości 15 przy tylko 20 bajtach powoduje odczyt 40 bajtów poza zakresem; IHL 0-4 prowadzi do błędnej interpretacji nagłówków.

Podatność na wyczerpanie zasobów w bibliotece Tesla (Elixir) przed wersją 1.18.3. Funkcja Tesla.Adapter.Mint.open_conn/2 konwertuje schemat URL każdego żądania na atom BEAM bez walidacji, co może doprowadzić do wypełnienia tablicy atomów i awarii VM. Atakujący może wpływać na URL żądania przez funkcje przekierowań lub webhooki.

Biblioteka Tesla (Elixir) w wersjach od 1.4.0 przed 1.18.3 nieprawidłowo obsługuje wielkość liter w nagłówkach HTTP podczas przekierowań między domenami. Nagłówek Authorization w formacie kanonicznym (np. "Authorization") nie jest filtrowany, co prowadzi do wycieku poświadczeń do zewnętrznej domeny.

React Router w wersjach 7.0.0 do 7.14.0 oraz 6.7.0 do 6.30.3 zawiera podatność na otwarte przekierowanie, gdy pewne adresy URL przekazane do funkcji redirect są interpretowane jako protokołowo-względne, co może przekierować użytkownika na zewnętrzną domenę.

Wire iOS klient do wersji 4.15.0 ulega awarii po otrzymaniu spreparowanej wiadomości Proteus z zaszyfrowanym ładunkiem krótszym niż 16 bajtów. Awaria następuje automatycznie, a wiadomość utrzymuje się w konwersacji, powodując pętlę awarii przy ponownym uruchomieniu aplikacji. Problem naprawiono w wersji 4.16.0.

AIOHTTP, asynchroniczny framework HTTP dla Pythona, przed wersją 3.14.0 zawiera podatność w funkcji CookieJar.load() umożliwiającą wykonanie dowolnego kodu przy użyciu niezaufanych danych wejściowych. Większość aplikacji używa tej funkcji z własnymi danymi, więc ryzyko jest niskie, ale w przypadku ładowania plików kontrolowanych przez atakującego może dojść do zdalnego wykonania kodu.

Northern.tech CFEngine Enterprise w wersjach 3.24.3 przed 3.24.4 oraz 3.27.0 przed 3.27.1 jest podatny na atak XSS (Cross-Site Scripting).

Podatność na Cross Site Scripting w usememos Memos w wersji 0.26.0 umożliwia zdalnemu atakującemu uzyskanie poufnych informacji poprzez strony SANITIZE_SCHEMA, Memo Rendering Component oraz Public/Private Memo View.

Błąd kompilacji JIT w silniku JavaScript przeglądarki Firefox. Podatność została naprawiona w wersji 151.0.3.

W aplikacji nextlevelbuilder GoClaw do wersji 3.11.3 stwierdzono podatność w funkcji TeamTasksTool.executeComplete pliku internal/tools/team_tasks_lifecycle.go komponentu Team Task Completion Handler. Manipulacja może prowadzić do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Projekt oznaczył zgłoszony problem jako błąd.

Serwer proxy w Graph Explorer przed wersją 3.0.1 przełącza się na HTTP, gdy brakuje plików certyfikatów. Zdalny atakujący może przechwycić żądania, które miały być wysłane przez HTTPS, uzyskując poufne informacje.

Dräger Atlan A350 w wersjach 1.00 do 1.01 ma podatność na nieprawidłowe przetwarzanie danych wejściowych przez interfejs Medibus. Wysyłanie specjalnie spreparowanych danych niezgodnych z Medibus może przeciążyć procesor, stopniowo zakłócając działanie urządzenia przez kilka godzin, powodując utratę transmisji danych, opóźnienia w wyświetlaniu krzywych i rozbieżności w pomiarach ciśnienia.