Katalog podatności CVE

IBM Db2 w wersjach 11.5.0-11.5.9 oraz 12.1.0-12.1.3 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może umożliwić uwierzytelnionemu użytkownikowi spowodowanie odmowy usługi za pomocą specjalnie spreparowanego zapytania SQL z powodu nieprawidłowej alokacji zasobów systemowych.

IBM Db2 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.3 dla Linux, UNIX i Windows (w tym Db2 Connect Server) może pozwolić uwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi z powodu nieprawidłowej neutralizacji specjalnych elementów w logice zapytań danych, gdy istnieją określone konfiguracje.

IBM Langflow Desktop w wersjach 1.2.0–1.8.4 pozwala uwierzytelnionemu atakującemu na traversowanie katalogów i zapis dowolnych plików w systemie poprzez spreparowane żądanie URL zawierające sekwencje /../.

CVE-2026-40951 to podatność na uszkodzenie pamięci w klientach Secure Access dla Windows przed wersją 14.50. Atakujący z lokalną kontrolą nad klientem może wysłać zniekształcone dane do API i wywołać odmowę usługi.

W serwerze Secure Access przed wersją 14.50 występuje przepełnienie bufora. Atakujący kontrolujący zmodyfikowanego klienta może wysłać specjalnie spreparowaną wiadomość do serwera i spowodować odmowę usługi.

CVE-2026-40949 to podatność na przepełnienie bufora w kliencie Secure Access dla Windows przed wersją 14.50. Atakujący z lokalną kontrolą nad klientem może wykorzystać ją do wywołania odmowy usługi.

IBM Langflow Desktop w wersjach od 1.6.0 do 1.8.4 jest podatny na przechowywany cross-site scripting (stored XSS). Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, zmieniając zamierzone działanie aplikacji i potencjalnie ujawniając dane uwierzytelniające w zaufanej sesji.

IBM Langflow Desktop w wersjach od 1.0.0 do 1.8.4 jest podatny na Server-Side Request Forgery (SSRF). Uwierzytelniony atakujący może wysyłać nieautoryzowane żądania z systemu, co może prowadzić do enumeracji sieci lub ułatwiać inne ataki.

CVE-2026-33452 to podatność na przepełnienie bufora w kliencie Secure Access dla Windows przed wersją 14.50. Atakujący z lokalną kontrolą nad klientem może wykorzystać ją do wywołania niebieskiego ekranu systemu.

W kliencie Secure Access dla macOS w wersjach przed 14.50 występuje podatność typu out-of-bounds read. Atakujący kontrolujący zmodyfikowany serwer może wysłać do klienta zniekształcony pakiet, powodując odmowę usługi.

FRRouting przed wersją 10.5.3 zawiera lukę przepełnienia liczb całkowitych w siedmiu funkcjach parsera TLV OSPF Traffic Engineering i Segment Routing. Zmienna akumulatora uint16_t obcina wartości uint32_t zwracane przez makro TLV_SIZE(), powodując niepowodzenie warunku zakończenia pętli przy jednoczesnym niekontrolowanym przesuwaniu wskaźnika. Atakujący z ustanowioną sąsiedztwem OSPF może wysłać spreparowany pakiet LS Update z złośliwym Opaque LSA typu 10 lub 11, co prowadzi do odczytu poza granicami pamięci i awarii wszystkich dotkniętych routerów w obszarze OSPF lub systemie autonomicznym.

SSCMS v7.4.0 zawiera podatność typu reflected cross-site scripting w punkcie końcowym przetwarzania STL, pozwalającą atakującym na wykonanie dowolnego JavaScriptu poprzez spreparowane szablony STL zwracane bez odpowiedniej sanityzacji. Atakujący może wykorzystać nieprawidłowe kodowanie wyjścia w punkcie końcowym /api/stl/actions/dynamic do wstrzyknięcia wykonywalnego JavaScriptu do odpowiedzi JSON.

W module Hex.RemoteConverger biblioteki hexpm hex weryfikacja sum kontrolnych zależności jest pomijana z powodu niezgodności typów (nazwy tekstowe vs. atomy), przez co kod weryfikacji jest po cichu pomijany. Pozwala to obejść integralność zależności, gdy atakujący wpłynie na pamięć podręczną pakietów lub rejestr, a plik mix.lock jest po cichu nadpisywany sumami z rejestru, zacierając ślady manipulacji. Problem dotyczy wersji od 0.16.0 przed 2.4.2.

GnuTLS przeprowadza porównania uwzględniające wielkość liter dla etykiet nameConstraints, co pozwala zdalnemu atakującemu na ominięcie polityki poprzez spreparowanie certyfikatu z różnicami w wielkości liter w Subject Alternative Name.

Podatność w Keycloak powoduje, że wyłączenie funkcji account i account-api za pomocą flagi `--features-disabled` jest nieskuteczne. Pięć endpointów REST API na ścieżce `/account/v1alpha1` pozostaje w pełni funkcjonalnych, ponieważ brakuje w nich mechanizmu `checkAccountApiEnabled()`, który poprawnie blokuje pozostałe cztery endpointy w tej samej klasie serwisu.

W interfejsie REST assisted-service (opcjonalny komponent Assisted Installer w Multicluster Engine) uwierzytelniony użytkownik z minimalnymi uprawnieniami w przestrzeni nazw może uzyskać poświadczenia administracyjne dla dowolnego klastra OpenShift provisionowanego przez hub. Punkt końcowy pobierania poświadczeń (GET /v2/clusters/{cluster_id}/credentials) oraz kubeconfig działają w trybie AUTH_TYPE=local, który bezwarunkowo przyznaje pełny dostęp administracyjny każdemu żądaniu z ważnym JWT. Lokalny JWT jest osadzony jako jawny parametr zapytania w InfraEnvStatus.ISODownloadURL i jest odczytywalny przez każdego użytkownika z prawem get na obiekcie InfraEnv w swojej przestrzeni nazw.

Podatność CVE-2026-7382 dotyczy oprogramowania PDKS firmy MeWare Software Development Inc., które umożliwia nieautoryzowanym osobom dostęp do prywatnych informacji osobistych. Problem występuje w wersjach od V16.20200313 do przed VMYR_3.5.2025117.

Moduł Dancer::Session::Abstract w wersjach do 1.3522 dla Perla generuje identyfikatory sesji w niezabezpieczony sposób, opierając się na przewidywalnych danych, takich jak ścieżka, PID, czas epoki i funkcja rand(). Przewidywalne identyfikatory sesji mogą pozwolić atakującemu na uzyskanie dostępu do systemów.

LEX Baza Dokumentów jest podatna na DOM-based XSS w parametrze cookie "em". Aplikacja niebezpiecznie przetwarza ten parametr po stronie klienta, umożliwiając atakującemu wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary. Atakujący z możliwością ustawienia cookie może przeprowadzić poważniejszy atak, jednak dostawca uznał to za podatność i wydał poprawkę bezpieczeństwa. Problem naprawiono w wersji 1.3.4.

W jądrze Linux funkcja rtnl_newlink() nie sprawdza uprawnienia CAP_NET_ADMIN w sieciowej przestrzeni nazw peera przy tworzeniu urządzeń parowanych (veth, vxcan, netkit). Umożliwia to nieuprzywilejowanemu użytkownikowi z przestrzenią nazw użytkownika tworzenie interfejsów w dowolnych przestrzeniach nazw sieci, w tym init_net.