Katalog podatności CVE

W jądrze Linux wykryto podatność w sterowniku RDMA/irdma prowadzącą do zakleszczenia podczas resetowania interfejsu sieciowego przy aktywnych połączeniach RDMA. Reset netdev powoduje usunięcie sterownika pomocniczego irdma, co wyzwala oczekiwanie na zwolnienie referencji QP, które nigdy nie następuje z powodu cyklicznej zależności z cma_client.

W jądrze Linuxa naprawiono podatność związaną z błędnym logowaniem błędów w module spi-dw-dma. W przypadku wystąpienia błędu, urządzenie może nie mieć aktualnej wiadomości, co może prowadzić do awarii systemu.

W jądrze Linux w podsystemie XFS scrub naprawiono brak zwolnienia blokady dq->q_qlock przed wczesnym powrotem w xchk_quota_item. Gdy funkcja pomocnicza xchk_fblock_process_error zwracała false, funkcja kończyła się bez zwolnienia blokady dquot, co mogło prowadzić do wycieku blokady lub zakleszczenia w późniejszych operacjach kwotowych.

W jądrze Linux wykryto błąd w mechanizmie futex_lock_pi(), gdzie po ponownej próbie blokady nie był zerowany lokalny wskaźnik do wychodzącego wątku. Prowadziło to do ostrzeżenia WARN_ON_ONCE() przy przekazaniu nieaktualnego wskaźnika do wait_for_owner_exiting().

W jądrze Linux w module mac80211 funkcja aql_enable_write() nie serializuje równoczesnych zapisów do debugfs, co prowadzi do wyścigu między sprawdzeniem static_key_false() a wywołaniem static_branch_inc()/static_branch_dec(). W wyniku tego może wystąpić niedomiar (underflow) licznika static_branch_dec(), co powoduje ostrzeżenie jądra i potencjalną niestabilność systemu.

W jądrze Linuxa w sterowniku bondingu wykryto podatność na dereferencję wskaźnika NULL w funkcji bond_debug_rlb_hash_show. Funkcja ta wyświetla zawartość tablicy haszującej RLB, ale nie sprawdza, czy pole slave w strukturze client_info nie jest NULL, co może prowadzić do awarii systemu.

W jądrze Linux w module crash_dump naprawiono rejestrowanie bajtów klucza dm-crypt w funkcji read_key_from_user_keying. Przy włączonym logowaniu debugowania funkcja zapisywała pierwsze 8 bajtów ładunku klucza, częściowo ujawniając klucz dm-crypt. Poprawka zaprzestaje rejestrowania jakichkolwiek bajtów klucza.

W jądrze Linux w module x86/platform/uv występuje błąd obsługi odkonfigurowanych gniazd (socketów). Odkonfigurowane gniazdo jest mapowane na SOCK_EMPTY (0xffff), co powoduje panikę jądra podczas alokacji struktur informacyjnych UV hub. Poprawka polega na użyciu NUMA_NO_NODE, aby struktury były alokowane na prawidłowych węzłach.

W jądrze Linux w komponencie drm/i915/gt występuje luka polegająca na braku sprawdzenia wskaźnika set_default_submission przed jego wywołaniem. Gdy binaria firmware i915 nie są obecne, wskaźnik nie jest ustawiony, a mimo to jest wywoływany podczas suspendu, co prowadzi do NULL pointer dereference i awarii jądra.

W kliencie SMB w jądrze Linux zarządzanie kredytami odbioru (recv credits) poprzez zliczanie zaksięgowanych recv_io i przyznanych kredytów jest podatne na wyścig. Może to prowadzić do przyznania kredytów, które w rzeczywistości nie istnieją, powodując błędy w komunikacji.

Mahara w wersjach przed 25.04.2 i 24.04.11 jest podatna na wyświetlanie wyników, które mogą wywołać XSS poprzez złośliwy ciąg zapytania wyszukiwania. Występuje to w funkcji 'search site' podczas korzystania z wtyczki wyszukiwania Elasticsearch7 — funkcja Elasticsearch nie sanityzuje poprawnie danych wejściowych w parametrze zapytania.

Podatność CVE-2026-5265 dotyczy błędu w obsłudze odpowiedzi ICMP 'Destination Unreachable' lub 'Packet Too Big', gdzie nieprawidłowo kopiowane są dane z oryginalnego pakietu do ciała błędu ICMP. Problem wynika z braku walidacji długości pakietu w stosunku do rzeczywistego rozmiaru bufora pakietu.

Graf zależności zasobów nie ograniczał węzłów na podstawie uprawnień odczytu DAG przeglądającego: użytkownik z dostępem do co najmniej jednego DAG mógł przeglądać graf zasobów dla dowolnego innego zasobu we wdrożeniu i poznać istnienie oraz nazwy DAG-ów i zasobów poza swoim zakresem uprawnień. Zaleca się aktualizację do wersji 3.2.1.

Uwierzytelniony endpoint /ui/dags nie wymuszał kontroli dostępu per-DAG dla osadzonych rekordów Human-in-the-Loop (HITL) i TaskInstance: zalogowany użytkownik Airflow z dostępem do co najmniej jednego DAG mógł pobrać monity HITL (wraz z parametrami żądania) oraz pełne szczegóły TaskInstance dla DAG-ów poza swoim zakresem uprawnień. Zaleca się aktualizację do wersji 3.2.1.

Apache ActiveMQ i ActiveMQ Web zawierają podatność Basic XSS polegającą na niewłaściwej neutralizacji tagów HTML w konsoli webowej. Uwierzytelniony atakujący może wyświetlić złośliwą treść podczas przeglądania kolejek, nadpisując typ zawartości na HTML i wstrzykując HTML w pole selektora JMS. Problem dotyczy wersji przed 5.19.6 oraz 6.0.0–6.2.5.

Podatność na deserializację niezaufanych danych w module RPC Apache DolphinScheduler dotyczy wersji od 3.2.0 do 3.3.1. Atakujący, którzy mają dostęp do węzłów Master lub Worker, mogą skompromitować system, tworząc StandardRpcRequest, wstrzykując złośliwy typ klasy i wysyłając żądania RPC do węzłów Master/Worker.

Wtyczka HubSpot All-In-One Marketing dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 11.3.32 włącznie, poprzez plik leadin/public/admin/class-adminconstants.php. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wyodrębnienie listy wszystkich zainstalowanych wtyczek i ich wersji, co może być wykorzystane do rozpoznania i dalszych ataków.

Wtyczka Royal Elementor Addons dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) przez podpisy obrazów w widżecie Image Grid/Slider/Carousel w wersjach do 1.7.1056 włącznie. Wynika to z niewystarczającego escapowania wyjścia w funkcji render_post_thumbnail(), gdzie użyto wp_kses_post() zamiast esc_attr() dla atrybutu alt. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie autora wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi stronę z złośliwym obrazem.

Wtyczka ExactMetrics – Google Analytics Dashboard dla WordPressa jest podatna na brak autoryzacji w wersjach do 9.1.2 włącznie. Wynika to z braku sprawdzania uprawnień w procedurach AJAX get_ads_access_token() i reset_experience(). Mimo że nonce mi-admin-nonce jest lokalizowany na wszystkich stronach administracyjnych (w tym profile.php, do którego mają dostęp subskrybenci), a inne podobne punkty końcowe AJAX w tej samej klasie sprawdzają uprawnienie exactmetrics_save_settings, te dwa punkty końcowe weryfikują tylko nonce. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie subskrybenta pobranie ważnych tokenów dostępu Google Ads i zresetowanie ustawień integracji Google Ads.

Press, niestandardowa aplikacja Frappe zarządzająca infrastrukturą Frappe Cloud, ma podatność na odbity XSS (reflected XSS) w parametrze przekierowania na stronie logowania. Poprawka w commicie 16d1b6ca2559f858a1de77bcb03fd7f1b81671c6 rozwiązuje problem, ograniczając przekierowania wyłącznie do wewnętrznych adresów URL.