Katalog podatności CVE

W FFmpeg wykryto lukę, którą zdalny atakujący może wykorzystać, dostarczając spreparowany plik multimedialny MPEG-PS/VOB z złośliwym strumieniem napisów DVD. Przyczyną jest przepełnienie liczbowe ze znakiem w sprawdzaniu granic podczas łączenia fragmentów w parserze napisów DVD, co prowadzi do zapisu poza granicami bufora na stercie. Udana eksploatacja może spowodować odmowę usługi (awaria aplikacji), a potencjalnie także wykonanie dowolnego kodu.

W bibliotece Skia w Google Chrome przed wersją 147.0.7727.101 występuje błąd odczytu poza granicami bufora. Zdalny atakujący może wykorzystać spreparowany plik, aby uzyskać dostęp do potencjalnie wrażliwych informacji z pamięci procesu.

W kodekach Google Chrome przed wersją 147.0.7727.101 występuje błąd użycia po zwolnieniu pamięci (use after free). Zdalny atakujący może wykorzystać spreparowany plik wideo, aby potencjalnie uzyskać dostęp do pamięci poza granicami bufora.

Przepełnienie bufora sterty w Skia w Google Chrome przed wersją 147.0.7727.101 pozwala zdalnemu atakującemu uzyskać potencjalnie poufne informacje z pamięci procesu za pomocą spreparowanej strony HTML. Chromium ocenia tę podatność jako krytyczną.

W GIMP wykryto przepełnienie bufora w pluginie file-seattle-filmworks, które można wykorzystać, gdy użytkownik otworzy specjalnie spreparowany plik Seattle Filmworks. Zdalny atakujący może wywołać odmowę usługi (DoS), powodując awarię pluginu i potencjalnie wpływając na stabilność GIMP.

W GIMP przetwarzanie specjalnie spreparowanego pliku obrazu PVR o dużych wymiarach może prowadzić do odmowy usługi (DoS). Przyczyną jest przepełnienie bufora na stosie i odczyt poza zakresem w loaderze PVR, powodujące awarię aplikacji.

W GIMP występuje luka typu heap buffer over-read w funkcji icns_slurp() podczas przetwarzania specjalnie spreparowanych plików ICNS. Atakujący może dostarczyć złośliwy plik ICNS, co może prowadzić do awarii aplikacji lub ujawnienia informacji.

W GIMP wykryto podatność przepełnienia bufora stosu w ścieżce dekodowania 4BPP loadera obrazów TIM. Otwarcie specjalnie spreparowanego pliku obrazu TIM powoduje awarię aplikacji z powodu bezwarunkowego przepełnienia przy zapisie do tablicy o zmiennej długości, co pozwala lokalnemu użytkownikowi wywołać odmowę usługi (DoS).

W GIMP wykryto błąd przepełnienia liczb całkowitych w module wczytywania obrazów FITS. Zdalny atakujący może dostarczyć specjalnie spreparowany plik FITS, co prowadzi do alokacji zerobajtowej pamięci, a następnie do przepełnienia bufora sterty podczas przetwarzania danych pikseli.

W ApostropheCMS w wersjach 4.28.0 i wcześniejszych parametry choices i counts w REST API wykonują operacje MongoDB distinct(), które omijają ograniczenia publicApiProjection. Nieuwierzytelniony atakujący może wyodrębnić wszystkie unikalne wartości pól schematu, w tym pól chronionych przez viewPermission, a wariant counts ujawnia liczbę dokumentów dla każdej wartości.

ApostropheCMS w wersjach 4.28.0 i wcześniejszych zawiera podatność stored XSS w module @apostrophecms/color-field. Wartości kolorów z prefiksem -- omijają walidację TinyColor, a wywołanie launder.string() wykonuje tylko konwersję typu bez usuwania metaznaków HTML. Nieoczyszczone wartości są konkatenowane bezpośrednio do tagów <style> w elementach stylów widgetów i globalnym arkuszu stylów, oznaczonych jako bezpieczny HTML. Edytor może wstrzyknąć wartość zamykającą tag style i wykonującą dowolny JavaScript w przeglądarce każdego odwiedzającego.

ApostropheCMS w wersjach 4.28.0 i starszych zawiera obejście autoryzacji w metodzie getRestQuery modułu @apostrophecms/piece-type. Nieuwierzytelniony atakujący może dodać parametr project w żądaniu REST API, co powoduje pominięcie publicApiProjection i ujawnienie pól, które administrator wyłączył z publicznego API, takich jak notatki wewnętrzne, treści robocze czy metadane.

Podatność CVE-2026-21726 pozwala atakującemu na odczyt plików poprzez wykorzystanie podwójnego kodowania w parametrze namespace w punkcie końcowym Ruler API.

Wada w logice oceny kontroli dostępu opartej na rolach (RBAC) w KubeVirt powoduje nieprawidłowe obcinanie nazw podzasobów, co prowadzi do błędnych decyzji autoryzacyjnych. Uwierzytelnieni użytkownicy z określonymi rolami mogą uzyskać nieautoryzowany dostęp do podzasobów lub zostać niesłusznie pozbawieni dostępu.

W System Security Services Daemon (SSSD) znaleziono błąd w funkcji pam_passkey_child_read_data() w responderze PAM passkey. Funkcja nieprawidłowo obsługuje surowe bajty otrzymane z potoku, traktując dane jako zakończony nullem ciąg C bez jawnego zakończenia, co prowadzi do odczytu poza zakresem podczas przetwarzania przez funkcje takie jak snprintf(). Lokalny atakujący może wywołać tę podatność, inicjując spreparowane żądanie uwierzytelnienia passkey, powodując awarię respondera PAM SSSD i lokalną odmowę usługi (DoS).

Weblate przed wersją 5.17 weryfikuje granice repozytorium za pomocą sprawdzania prefiksu ciągu na rozwiązanych ścieżkach absolutnych. W wielu miejscach kod używa startswith względem ścieżki głównej repozytorium, co nie uwzględnia granic segmentów ścieżki i można to obejść, gdy zewnętrzna ścieżka ma ten sam prefiks (np. repo i repo_outside). Luka została naprawiona w wersji 5.17.

Weblate w wersjach przed 5.17 nie wykorzystywał istniejących zabezpieczeń przed SSRF w dodatku webhook. Może to pozwolić atakującemu na wymuszenie żądań do wewnętrznych zasobów. Problem został naprawiony w wersji 5.17.

Weblate to internetowe narzędzie do lokalizacji. W wersjach przed 5.17 użytkownik z uprawnieniem project.edit (przyznawanym przez rolę "Administration" w projekcie) może skonfigurować adresy URL usług tłumaczenia maszynowego wskazujące na dowolne wewnętrzne adresy sieciowe. Podczas walidacji konfiguracji Weblate wykonuje żądanie HTTP do adresu kontrolowanego przez atakującego i odzwierciedla do 200 znaków treści odpowiedzi w komunikacie błędu. Stanowi to podatność Server-Side Request Forgery (SSRF) z częściowym odczytem odpowiedzi. Naprawiono w wersji 5.17.

W Weblate w wersjach przed 5.17 ustawienie ALLOWED_ASSET_DOMAINS było stosowane tylko do pierwszych żądań i nie ograniczało możliwych przekierowań. Może to pozwolić na obejście ograniczeń domenowych przy pobieraniu zasobów.

Weblate przed wersją 5.17 udostępniał nieoczekiwane endpointy API pamięci tłumaczeń, które nie przeprowadzały prawidłowej kontroli dostępu. Luka została naprawiona w wersji 5.17. Jeśli deweloperzy nie mogą natychmiast zaktualizować, mogą wyłączyć tę funkcję, ponieważ dodatek CDN nie jest domyślnie włączony.