Katalog podatności CVE

W libheif przed wersją 1.22.0, podczas dekodowania obrazu HEIF w siatce z strict_decoding=false, uszkodzony kafelek cicho zawodzi, a biblioteka zwraca heif_error_Ok bez wskazania błędu, prowadząc do wycieku niezainicjalizowanej pamięci sterty. Pamięć dla Y, Cb i Cr nie jest zerowana, więc dane z sterty trafiają do pikseli.

Joplin, aplikacja do notatek i zadań, w wersjach 3.6.14 i wcześniejszych zawiera podatność na Denial of Service (DoS) w polu tytułu notatki z powodu braku walidacji długości. Atakujący może spowodować błąd Out Of Memory (OOM) i zakończenie programu poprzez wstawienie bardzo długiego ciągu znaków w tytule notatki, zarówno przez interfejs użytkownika, jak i przez lokalne API webowe (port 41184) po skompromitowaniu tokena uwierzytelniającego. Problem został naprawiony w wersji 3.7.1.

W backendach AWS Secrets Manager i SSM Parameter Store w apache-airflow-providers-amazon przed wersją 9.28.0, logika zakresu zespołu mogła rozwiązać conn_id zawierające '/' (np. 'my_team/conn') do tej samej ścieżki co sekret innego zespołu, gdy wywołujący nie miał kontekstu zespołu. Uprzywilejowany wywołujący bez kontekstu zespołu mógł pobrać sekret innego zespołu, tworząc kolidujący conn_id. Naprawione w wersji 9.28.0 poprzez zmianę separatora zakresu zespołu na '--' i odrzucanie conn_id w kształcie zespołu, gdy brak kontekstu zespołu. Dotyczy tylko eksperymentalnej funkcji multi-tenant teams.

Biblioteka libheif w wersjach 1.21.2 i niższych zawiera podatność na atak DoS (Denial of Service) poprzez nieskończoną pętlę w funkcji Box_stts::get_sample_duration(). Specjalnie spreparowany plik HEIF o rozmiarze 800 bajtów powoduje 100% użycie CPU bez postępu, co prowadzi do odmowy usługi. Problem występuje podczas otwierania pliku, przed jakąkolwiek interakcją użytkownika.

Podatność w pluginie Kirki dla WordPressa polegająca na pominięciu autoryzacji we wszystkich wersjach do 6.0.6 włącznie. Umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym przeglądanie wszystkich formularzy Kirki i odczytywanie danych przesłanych przez odwiedzających, w tym danych kontaktowych i wiadomości.

LIVE555 przed wersją 2026.04.22 zawiera podatność na obejście autoryzacji w obsłudze poleceń sesji RTSP, która pozwala atakującym na powtórne użycie ważnych tokenów sesji z nieuwierzytelnionych połączeń. Atakujący, którzy zdobędą ważny token sesji, mogą wydawać polecenia PLAY i TEARDOWN z drugiego połączenia TCP bez uwierzytelnienia, powodując awarie serwera przez błędy wywołań funkcji wirtualnych lub zakłócanie aktywnych strumieni przez zakończenie sesji ofiary.

Discourse przed wersjami 2026.1.4, 2026.3.1, 2026.4.1 i 2026.5.0-latest.1 zawiera podatność we wtyczce discourse-subscriptions, która pozwala użytkownikom uzyskać dostęp do grup objętych subskrypcją bez dokonania płatności.

EspoCRM w wersjach 9.3.3 i niższych pozwala uwierzytelnionym użytkownikom na przesyłanie załączników SVG przez standardowe pola obsługujące załączniki, a następnie wyświetlanie tych plików SVG jako dokumentów inline, co prowadzi do trwałego XSS między użytkownikami. Mimo że CSP blokuje skrypty inline SVG, pozwala na skrypty z tego samego źródła, więc atakujący może przesłać złośliwy SVG wraz z drugim załącznikiem JavaScript i nakłonić ofiarę do otwarcia SVG w celu wykonania kodu.

W libheif (wersje 1.21.2 i starsze) spreparowany plik HEIF z samples_per_chunk=0 w boxie stsc powoduje niedomiar liczby całkowitej bez znaku w konstruktorze Chunk, co prowadzi do odczytu poza zakresem i awarii (SEGV) przy pierwszym dostępie do ramki. Plik parsuje się bez błędu, ale crash następuje przy próbie wyświetlenia.

Podatność w NanoMQ MQTT Broker w wersjach 0.24.10 i niższych, polegająca na dereferencji wskaźnika NULL podczas obsługi ruchu o wysokiej współbieżności przy ponownym łączeniu. Prowadzi do awarii brokera (DoS) bez uwierzytelniania. Problem został naprawiony w wersji 0.24.11.

Podatność na wstrzyknięcie komend w Panabit PAP-XM320 do wersji V7.7 włącznie. Interfejs zarządzania wywołuje /usr/sbin/pappiw z parametrami sterowanymi przez użytkownika, które są przetwarzane przez eval, umożliwiając wykonanie dowolnych komend powłoki.

Firefox dla iOS udostępniał tryb czytnika na nieuwierzytelnionym lokalnym serwerze WWW, co pozwalało innej aplikacji na tym samym urządzeniu na żądanie dowolnych URL-i i odbieranie odpowiedzi z ciasteczkami zalogowanego użytkownika. Podatność naprawiona w Firefox dla iOS 151.0.

W Technitium DNS Server przed wersją 15.0 występuje podatność, w której serwer agresywnie próbuje pobrać brakujące rekordy RRSIG lub niedopasowane rekordy DNSKEY. Atakujący kontrolujący domenę może spowodować generowanie nadmiernego ruchu sieciowego.

W aplikacji Portrait Dell Color Management przed wersją 3.7.0 dla monitorów Dell wykryto podatność związaną z dowiązaniami symbolicznymi. Na Windowsie, lokalny użytkownik o niskich uprawnieniach może eskalować uprawnienia do Administratora. Podczas instalacji, oprogramowanie zapisuje plik CCFLFamily_07Feb11.edr do C:\ProgramData\Portrait Displays\CW\data\i1D3\ z podwyższonymi uprawnieniami. Ponieważ instalator nie waliduje poprawnie dowiązań symbolicznych ani punktów ponownej analizy w ścieżce docelowej, atakujący może utworzyć złośliwe dowiązanie, które przekieruje operację zapisu do dowolnej lokalizacji systemowej, umożliwiając tworzenie lub nadpisywanie dowolnych plików z podwyższonymi uprawnieniami.

W komponencie Networking: JAR przeglądarki Firefox i Thunderbird występuje obejście polityki samego pochodzenia. Podatność została naprawiona w Firefox 151 i Thunderbird 151.

Podatność typu Spoofing w komponencie Form Autofill w przeglądarkach Firefox i Thunderbird. Problem został naprawiony w wersjach Firefox 151, Firefox ESR 140.11, Thunderbird 151 oraz Thunderbird 140.11.

W komponencie Toolbar przeglądarki Firefox for Android występuje problem z podszywaniem się (spoofing). Podatność została naprawiona w wersji Firefox 151.

Każdy gość może spowodować awarię xenstored, wysyłając polecenie XS_RESET_WATCHES w ramach transakcji, co wyzwala assert(). Jeśli xenstored został zbudowany z zdefiniowanym NDEBUG, nic złego się nie stanie, ponieważ assert() nic nie robi. Domyślnie NDEBUG nie jest definiowane dla kompilacji xenstored, nawet w wydaniach Xen typu release.

W funkcjonalności Smart Polling odkryto podatność na wstrzykiwanie HTML, spowodowaną niewłaściwą walidacją parametru wejściowego. Użytkownik z ograniczonymi uprawnieniami może przesłać złośliwe strategie zdalne zawierające tagi HTML, które są renderowane w przeglądarce ofiary.

W funkcjonalności przywracania archiwum odkryto podatność na wstrzykiwanie HTML, spowodowaną niewłaściwą walidacją parametru wejściowego. Użytkownik z uprawnieniami administratora może zdefiniować złośliwy harmonogram przywracania zawierający tagi HTML.