Katalog podatności CVE

Wtyczka The Grid firmy ThemeOne zawiera podatność braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.8.0 włącznie.

W Beam beta9 w wersji 0.1.521 występuje podatność typu Directory Traversal. Zdalny atakujący może uzyskać dostęp do poufnych informacji za pośrednictwem funkcji joinCleanPath.

W TMS Management Console 6.3.7.27386.20250818 od TMS Global Software wykryto podatność na path traversal w funkcji „Download Template” w panelu profilu. Brak neutralizacji sekwencji „../” w parametrze filePath umożliwia uwierzytelnionym użytkownikom odczyt dowolnych plików, np. Web.config serwera.

Podatność CVE-2025-4763 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Hotel Guest Hotspot firmy Aida Computer Information Technology Inc. Umożliwia to ataki typu Reflected XSS.

Discord do 2026-01-16 pozwala na uzyskanie informacji, czy klient użytkownika jest w stanie Invisible (a nie faktycznie offline), ponieważ odpowiedź na żądanie WebSocket API zawiera użytkownika w tablicy presences ze statusem "offline", podczas gdy użytkownicy offline są pomijani. Jest to niezgodne z opisem w interfejsie, że Invisible oznacza "będziesz wyglądać na offline". Według doniesień zewnętrznych problem został później naprawiony w 2026 roku.

go-tuf to implementacja The Update Framework (TUF) w języku Go. W wersjach od 2.0.0 do 2.3.1 skompromitowane lub błędnie skonfigurowane repozytorium TUF może mieć ustawioną wartość progu podpisów na 0, co skutecznie wyłącza weryfikację podpisów. Może to prowadzić do nieautoryzowanej modyfikacji plików metadanych TUF zarówno w spoczynku, jak i w tranzycie, ponieważ nie są wykonywane żadne kontrole integralności. Wersja 2.3.1 naprawia ten problem. Jako obejście należy zawsze upewnić się, że role metadanych TUF mają skonfigurowany próg co najmniej 1.

go-tuf to implementacja The Update Framework (TUF) w Go. Od wersji 2.0.0 do 2.3.1, jeśli repozytorium TUF (lub dowolne jego lustro) zwróci nieprawidłowy JSON metadanych TUF (poprawny JSON, ale niepoprawne metadane TUF), klient panikuje podczas parsowania, powodując odmowę usługi. Panika następuje przed walidacją podpisu, więc skompromitowane repozytorium/lustro/pamięć podręczna może wywołać DoS bez dostępu do klucza podpisującego.

Podatność XSS w Argo Workflows umożliwia wykonanie dowolnego kodu JavaScript w przeglądarce innego użytkownika poprzez listowanie katalogów artefaktów. Problem występuje przed wersjami 3.6.17 i 3.7.8.

Funkcje _.unset i _.omit w bibliotece Lodash są podatne na zanieczyszczenie prototypu (prototype pollution). Atakujący może przekazać spreparowane ścieżki, które powodują usunięcie metod z globalnych prototypów przez Lodash. Luka pozwala na usunięcie właściwości, ale nie umożliwia nadpisania ich oryginalnego zachowania. Podatność została naprawiona w wersjach od 4.17.23 do 4.18.0 w zależności od pakietu: lodash, lodash-es i lodash-amd w 4.17.23 oraz samodzielne pakiety lodash.unset i lodash.omit w 4.18.0.

W jądrze Linux wykryto podatność powodującą panikę systemu przy próbie kopiowania danych z bufora sk_buff.cb do przestrzeni użytkownika przez funkcję sock_recv_errqueue. Problem wynika z braku zdefiniowanego regionu dozwolonego kopiowania (usercopy whitelist) w pamięci podręcznej skbuff_fclone_cache, co przy włączonej opcji CONFIG_HARDENED_USERCOPY prowadzi do błędu BUG(). Łatka stosuje lokalną zmienną stosową jako bufor pośredniczący, aby ominąć to sprawdzenie.

W jądrze systemu Linux zidentyfikowano podatność, która prowadzi do dereferencji wskaźnika NULL podczas dezaktywacji nieaktywnych agregatów w funkcji qfq_reset. Problem występuje, gdy dwa obiekty qfq_class wskazują na ten sam leaf_qdisc, co może prowadzić do błędów w zarządzaniu kolejkami.

Nazwy i wartości nagłówków kontrolowane przez użytkownika zawierające znaki nowej linii mogą umożliwić wstrzyknięcie nagłówków HTTP. Może to prowadzić do manipulacji odpowiedziami lub żądaniami HTTP.

W http.cookies.Morsel (Python) wartości i parametry ciasteczek kontrolowane przez użytkownika mogą pozwolić na wstrzyknięcie nagłówków HTTP do wiadomości. Poprawka odrzuca wszystkie znaki kontrolne w nazwach, wartościach i parametrach ciasteczek.

Moduł imaplib w Pythonie umożliwia wstrzykiwanie dodatkowych komend poprzez znaki nowej linii w przekazanym przez użytkownika poleceniu. Łagodzenie polega na odrzucaniu komend zawierających znaki kontrolne.

Moduł urllib.request.DataHandler w Pythonie przetwarza kontrolowane przez użytkownika adresy URL typu data, co pozwala na wstrzyknięcie nagłówków poprzez znaki nowej linii w mediatype adresu data URL.

Podczas składania długiego komentarza w nagłówku e-mail zawierającego wyłącznie znaki nierozwijalne nawias nie był zachowywany. Można to wykorzystać do wstrzykiwania nagłówków do wiadomości e-mail, gdy adresy są kontrolowane przez użytkownika i nie są sanityzowane.

Podatność w Chainlit przed wersją 2.9.4 umożliwia uwierzytelnionemu atakującemu odczyt dowolnego pliku na serwerze poprzez manipulację ścieżką w żądaniu aktualizacji elementu projektu. Atakujący może skopiować plik do swojej sesji, a następnie pobrać go za pomocą identyfikatora elementu.

W hexpm (hex.pm) występuje podatność na Cross-Site Scripting (XSS) w module Elixir.HexpmWeb.SharedAuthorizationView. Funkcja render_grouped_scopes/3 nie neutralizuje danych wejściowych, co pozwala na wstrzyknięcie skryptów.

W bibliotece node-tar w wersji do 7.5.2 stwierdzono podatność polegającą na braku sanityzacji ścieżki linkpath dla wpisów Link (hardlink) i SymbolicLink, gdy preservePaths jest ustawione na false (domyślne bezpieczne zachowanie). Pozwala to złośliwym archiwom na ominięcie ograniczenia katalogu docelowego, prowadząc do nadpisywania dowolnych plików przez hardlinki i zatruwania dowiązań symbolicznych przez absolutne cele dowiązań.

Wykryto podatność typu Double Free (CWE-415), która może powodować uszkodzenie pamięci sterty, gdy użytkownik końcowy importuje złośliwy plik projektu (plik SSD) udostępniony przez atakującego do Rapsody.