Katalog podatności CVE

Podatność na trwałe skryptowanie między witrynami (XSS) w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia złośliwemu, uwierzytelnionemu administratorowi przechowywanie ładunku JavaScript za pomocą interfejsu sieciowego.

W aplikacji Palo Alto Networks GlobalProtect wykryto wiele błędów w walidacji certyfikatów, które umożliwiają atakującemu przechwycenie szyfrowanej komunikacji i potencjalne naruszenie bezpieczeństwa urządzenia końcowego. Lokalny użytkownik systemu bez uprawnień administracyjnych lub atakujący w tej samej podsieci może przekierować ruch na nieautoryzowany serwer i ułatwić instalację złośliwego oprogramowania. Aplikacja GlobalProtect na systemach Linux, Windows, iOS oraz GlobalProtect UWP nie są dotknięte tą podatnością.

Podatność w Prisma Access Agent dla systemów Android i Chrome OS umożliwia atak typu man-in-the-middle (MitM) poprzez niewłaściwą walidację certyfikatów. Atakujący może przechwycić ruch VPN i uzyskać wrażliwe dane urządzenia, prezentując certyfikat dowolnej domeny wydany przez zaufane centrum certyfikacji.

Wielokrotne podatności na ujawnienie informacji w Prisma Access Agent umożliwiają lokalnemu użytkownikowi dostęp do wrażliwych danych konfiguracyjnych i poświadczeń. Luka dotyczy wersji agenta na systemy Windows i macOS.

W Trust Protection Foundation występuje podatność SQL injection, która pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń SQL wobec bazy danych produktu. Skuteczna eksploatacja może umożliwić odczyt poufnych danych, modyfikację zawartości bazy oraz eskalację uprawnień do pełnej kontroli administracyjnej nad platformą.

Podatność ujawniania informacji w Chronosphere Chronocollector pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym do usługi kolektora na odczytanie wrażliwych danych.

Podatność polegająca na wyścigu (race condition) w przeglądarce Prisma® Browser firmy Palo Alto Networks umożliwia lokalnie uwierzytelnionemu użytkownikowi niebędącemu administratorem ominięcie niektórych zasad kontroli dostępu i danych.

Next.js to framework React do budowy aplikacji full-stack. W wersjach od 13.4.0 do przed 15.5.16 oraz 16.2.5 aplikacje App Router korzystające z nonce CSP mogą być podatne na przechowywany cross-site scripting przy wdrożeniu za współdzielonymi cache'ami. Zniekształcone wartości nonce pochodzące z nagłówków żądań mogły być odzwierciedlane w renderowanym HTML w niebezpieczny sposób, co pozwalało zatruć odpowiedzi w cache i spowodować wykonanie skryptu u późniejszych odwiedzających.

Next.js to framework React do budowy aplikacji full-stack. W wersjach od 13.0.0 do przed 15.5.16 oraz 16.2.5 aplikacje używające skryptów beforeInteractive wraz z niezaufaną treścią mogą być podatne na cross-site scripting. W podatnych wersjach serializowana treść skryptu nie była bezpiecznie escapowana przed osadzeniem w dokumencie, co mogło pozwolić danym kontrolowanym przez atakującego na wyjście z zamierzonego kontekstu skryptu i wykonanie dowolnego JavaScriptu w przeglądarce odwiedzającego.

W vm2 przed wersją 3.11.0 transformer kodu ma optymalizację wydajności, która pomija analizę AST, gdy kod nie zawiera słów kluczowych catch, import lub async. Ta ścieżka szybka pozwala kodowi w sandboxie uzyskać bezpośredni dostęp do wewnętrznej zmiennej VM2_INTERNAL_STATE_DO_NOT_USE_OR_PROGRAM_WILL_FAIL, ujawniając wewnętrzne funkcje bezpieczeństwa (handleException, wrapWith, import). Podatność naprawiono w wersji 3.11.0.

W vm2 przed wersją 3.11.0 klasa opakowująca CallSite (pomyślana jako bezpieczne opakowanie dla natywnego CallSite V8) blokuje getThis() i getFunction(), aby zapobiec wyciekowi obiektów hosta, ale pozwala getFileName() zwracać nieoczyszczone bezwzględne ścieżki hosta. Kod w sandboxie może wyodrębnić pełną strukturę katalogów, ścieżki bibliotek i wersje frameworków serwera hosta. Podatność naprawiono w wersji 3.11.0.

W vm2 przed wersją 3.11.0 naruszenie granicy piaskownicy pozwala tożsamości obiektu hosta przedostać się do piaskownicy poprzez rozwiązywanie obietnic (Promise) po stronie hosta. Gdy obietnica hosta rozwiązująca się do obiektu hosta jest udostępniona piaskownicy, wartość przekazana do callbacku .then() zachowuje tożsamość hosta, co pozwala piaskownicy na bezpośrednią interakcję z obiektem hosta, w tym sprawdzanie tożsamości za pomocą WeakMap i modyfikację stanu obiektu hosta.

Next.js w wersjach od 10.0.0 do 15.5.15 oraz 16.2.4 podczas samodzielnego hostowania z domyślnym loaderem obrazów nie ogranicza rozmiaru lokalnych zasobów pobieranych przez API optymalizacji obrazów. Atakujący może wykorzystać endpoint /_next/image do żądania dużych plików, co prowadzi do wyczerpania pamięci (out-of-memory).

W aplikacjach Next.js wykorzystujących React Server Components, w wersjach od 14.2.0 do przed 15.5.16 i 16.2.5, występuje luka umożliwiająca zatrucie współdzielonego cache, gdy cache nie rozdziela poprawnie wariantów odpowiedzi. Atakujący może spowodować, że późniejsi użytkownicy otrzymają ładunki komponentów zamiast oczekiwanego HTML.

W TeamViewer DEX Platform On-Premises (dawniej 1E DEX Platform On-Premises) przed wersją 9.2 odkryto podatność na wstrzyknięcie poleceń. Nieprawidłowa walidacja danych wejściowych pozwala uwierzytelnionym użytkownikom z co najmniej uprawnieniami questioner na wstrzykiwanie poleceń w określonych instrukcjach, co może prowadzić do wykonania poleceń z podwyższonymi uprawnieniami na urządzeniach podłączonych do platformy.

Podatność przepełnienia bufora w Ardupilot rover (commit v.c56439b045162058df0ff136afea3081fcd06d38) pozwala lokalnemu atakującemu na spowodowanie odmowy usługi poprzez komponenty AP_InertialSensor_ADIS1647x.cpp, ArduRover i ADIS1647x Sensor.

aria2c akceptuje certyfikat serwera z nieprawidłowym rozszerzonym użyciem klucza (EKU). Jeśli atakujący skompromituje certyfikat (z powiązanym kluczem prywatnym) wydany do innego celu, może go ponownie wykorzystać do uwierzytelniania serwera TLS.

Astro w wersjach przed 6.1.10 używał szyfrowania AES-GCM do ochrony parametrów props i slots server islands, ale nie wiązał szyfrogramu z docelowym komponentem ani typem parametru. Atakujący mógł odtworzyć zaszyfrowaną wartość props (p) jednego komponentu jako wartość slots (s) innego komponentu lub odwrotnie, co przy surowym HTML w slotach może prowadzić do XSS. Podatność występuje, gdy aplikacja używa server islands, dwa komponenty współdzielą nazwę klucza dla prop i slot, a atakujący kontroluje wartość nakładającego się prop.

fast-xml-builder buduje XML z JSON. W wersjach przed 1.1.7, gdy dane wejściowe zawierają cudzysłowy w wartościach atrybutów, a przetwarzanie encji nie jest włączone, wartość atrybutu jest rozbijana na wiele atrybutów. Daje to atakującemu możliwość wstawienia niechcianych atrybutów do XML/HTML. Podatność została naprawiona w wersji 1.1.7.

W fast-xml-builder w wersji 1.1.5 poprawka dla CVE-2026-41650 w fast-xml-parser sanityzuje sekwencje -- w treści komentarzy XML za pomocą .replace(/--/g, '- -'). Pomija to wartości zawierające trzy kolejne myślniki (np. --->...), co pozwala atakującemu wyjść z komentarza XML i wstrzyknąć dowolną treść XML/HTML. Podatność naprawiono w wersji 1.1.6.