Katalog podatności CVE

GitLab EE zawiera błąd w logice czyszczenia, która nie odróżnia istniejących rekordów podatności od nowo utworzonych podczas obsługi błędów. W pewnych warunkach uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może trwale usunąć istniejące rekordy podatności. Podatność dotyczy wersji od 17.8 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1.

GitLab CE/EE naprawił problem w wersjach od 15.0 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1, gdzie gdy merge request w publicznym projekcie odwoływał się do poufnego zgłoszenia z prywatnego projektu, uwierzytelniony użytkownik bez członkostwa w projekcie mógł odczytać tytuł poufnego zgłoszenia. Przyczyną był niezależny od przeglądającego klucz pamięci podręcznej fragmentów, który nieprawidłowo udostępniał wyrenderowaną treść z redakcją per użytkownik wszystkim użytkownikom.

GitLab EE naprawił problem w wersjach od 19.2 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1, gdzie po zablokowaniu przez administratora instancji dostępności Duo dla grupy uwierzytelniony użytkownik z uprawnieniami Owner grupy mógł ponownie włączyć wysyłkę danych do usługi zewnętrznej opartej na AI dla tej grupy i jej projektów potomnych. Przyczyną była niewystarczająca szczegółowość mechanizmów egzekwowania blokady administratora.

W leomoon-studios wiki-go do wersji 1.9.1 funkcja DeleteComment w pliku internal/comments/comments.go (obsługa usuwania komentarzy) jest podatna na path traversal poprzez manipulację argumentem documentPath. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 1.9.2 (commit 224ef2a11facddef6b3a3c1f0a69156d1e574a33) rozwiązuje problem.

Podatność w stosie Bluetooth Classic A2DP (Zephyr) polega na tym, że struktura bt_a2dp_codec_ie przechowuje pole długości len oraz tablicę codec_ie[] o stałym rozmiarze 8 bajtów. Gdy zdalny peer AVDTP wyśle codec IE dłuższy niż 8 bajtów, funkcje a2dp_process_config_ind(), bt_a2dp_get_config_cb() i bt_a2dp_set_config_cb() kopiują tylko pierwsze 8 bajtów, ale zachowują pełną, wybraną przez atakującego długość w polu len. Później konsumenci ufają temu len, co prowadzi do odczytu poza granicami bufora i ujawnienia sąsiedniej pamięci RAM sparowanemu peerowi BR/EDR.

Apache Pulsar nie stosował polityk subskrypcji (tryb Prefix lub uprawnienia do subskrypcji) w kilku administracyjnych operacjach REST API działających na subskrypcjach: czyszczeniu backlogu (dla nazwanej subskrypcji i wszystkich), unsubscribe oraz wygaszaniu wiadomości dla wszystkich subskrypcji tematu. Uwierzytelniony użytkownik z uprawnieniem consume na przestrzeni nazw lub temacie mógł ominąć te polityki i wyczyścić backlog, wygasić wiadomości lub usunąć subskrypcję, do której normalnie nie miałby dostępu.

Apache Pulsar pozwala administratorowi wymuszać szyfrowanie end-to-end wiadomości w namespace poprzez politykę encryption_required. Jeśli inicjalizacja tematu trwałego nie powiedzie się (np. błąd odczytu z magazynu metadanych lub błąd ładowania polityk tematu), broker loguje ostrzeżenie, wyłącza wymóg szyfrowania i kończy ładowanie tematu jako udane. W rezultacie uwierzytelniony klient z uprawnieniami do produkcji może publikować niezaszyfrowane wiadomości, które broker akceptuje i przechowuje, mimo że polityka namespace tego wymaga.

W Apache Pulsar punkty końcowe REST API dla tematów niepersystentnych (/admin/v2/non-persistent/.../entryFilters) nie sprawdzają uprawnień do zarządzania polityką filtrów wpisów, w przeciwieństwie do tematów persystentnych. Uwierzytelniony użytkownik z uprawnieniami produce lub consume na temacie niepersystentnym może odczytać, zastąpić lub usunąć politykę filtrów wpisów tego tematu. Luka dotyczy wersji od 3.3.0 do 4.0.14 oraz od 4.1.0 do 4.2.5.

Apache Pulsar broker udostępnia API REST do administracji transakcjami pod /admin/v3/transactions. Gdy włączone są uwierzytelnianie i autoryzacja, większość endpointów odczytu weryfikuje jedynie uwierzytelnienie i dostępność tematu lub koordynatora transakcji, nie sprawdzając uprawnień wywołującego do tenanta, przestrzeni nazw ani tematu. W efekcie każdy uwierzytelniony użytkownik, nawet bez żadnych uprawnień, może odczytać metadane i statystyki transakcji należących do innych tenantów.

W frameworku Nuxt przed wersją 4.6.0 niekompletna poprawka CVE-2026-53722 pozwala aplikacji z wyłączonymi stronami renderować URL zdolny do wykonania skryptu przez NuxtLink, gdy dane kontrolowane przez atakującego przekazane do atrybutu to są poprzedzone znakiem kontrolnym ASCII C0. Router bez stron klasyfikuje wartość jako trasę wewnętrzną przed wcześniejszym sprawdzeniem protokołu i przekazuje ją do href; przeglądarki usuwają wiodący znak kontrolny i interpretują pozostały URL javascript:. Problem naprawiono w wersji 4.6.0.

W frameworku Astro od wersji 7.1.0 do 7.3.3 generator CSS View Transition po stronie serwera nie utrzymuje właściwości animacji tekstowych w wygenerowanych deklaracjach. Aplikacja przekazująca dane kontrolowane przez atakującego do właściwości takich jak duration, delay, easing, direction, fillMode lub nazwy animacji może pozwolić separatorom CSS zakończyć deklarację i dodać reguły wybrane przez atakującego do renderowanej strony. Wstrzyknięty CSS może ukrywać lub przemieszczać treść, dodawać wygenerowany tekst i fałszować interfejs. Problem naprawiono w wersji 7.3.3.

W Electronie przed wersjami 42.11.6, 43.7.3, 44.4.3 i 45.0.0-alpha.9 dane ramek otrzymywane z procesu GPU przy renderowaniu offscreen na macOS nie były w pełni walidowane przez proces główny. Atakujący z kodem wykonawczym w procesie GPU mógł dostarczyć niespójną geometrię ramki i spowodować odczyt poza granicami pamięci w procesie głównym, ujawniając pamięć lub powodując awarię aplikacji.

Usługa WebSocket w Apache Pulsar pozwala uwierzytelnionemu użytkownikowi z uprawnieniem CONSUME na dowolnym temacie na zdefiniowanie polityki dead letter z dowolnym deadLetterTopic. Usługa nie weryfikuje uprawnienia PRODUCE użytkownika do tego tematu i zapisuje wiadomości dead letter przy użyciu własnej tożsamości brokera, co umożliwia wstrzyknięcie wiadomości do tematów, do których użytkownik nie ma prawa produkcji, także w przestrzeniach nazw innych najemców.

W Electronie przed wersjami 42.11.6, 43.7.3, 44.4.3 i 45.0.0-alpha.9 dane ramek otrzymywane z procesu GPU dla webContents.beginFrameSubscription nie były w pełni walidowane przez proces główny. Atakujący z kodem wykonawczym w procesie GPU mógł dostarczyć niespójną geometrię ramki i spowodować odczyt poza granicami pamięci w procesie głównym, ujawniając pamięć lub powodując awarię aplikacji.

W frameworku Electron funkcja chrome.tabs.query() zwracała adres URL i tytuł każdej karty rozszerzeniom, które nie miały uprawnienia tabs ani pasujących uprawnień hosta. Aplikacja ładująca niezaufane rozszerzenie przez session.extensions.loadExtension mogła pozwolić mu odczytać URL i tytuł każdego webContents w swojej sesji. Problem naprawiono w wersjach 42.11.1, 43.5.1, 44.1.1 i 45.0.0-alpha.4.

W hMailServer w wersjach 6.0.0–6.3.6 responder ACME HTTP-01 obsługuje tylko jedno połączenie naraz i czeka do 5 sekund na żądanie. Zdalny nieuwierzytelniony atakujący może otwierać bezczynne połączenia, blokując odpowiedź na żądanie walidacji i powodując niepowodzenie wydania lub odnowienia certyfikatu.

W komponencie PathResourceManager serwera WWW Undertow mechanizm weryfikacji, czy dowiązanie symboliczne wskazuje bezpieczną lokalizację, sprawdza jedynie, czy ścieżka docelowa zaczyna się od określonego ciągu, nie upewniając się, że odpowiada pełnej nazwie katalogu. Może to pozwolić atakującemu na dostęp do plików w katalogu sąsiednim, którego nazwa zaczyna się od tych samych znaków co autoryzowany katalog.

pypdf to darmowa biblioteka PDF w czystym Pythonie. Przed wersją 6.21.0 atakujący może spreparować plik PDF, który powoduje duże zużycie pamięci lub długi czas działania, gdy aplikacja pobiera pola formularza dokumentu. Problem naprawiono w wersji 6.21.0.

W bibliotece pypdf przed wersją 6.21.1 atakujący może spreparować plik PDF z danymi obrazu oznaczonymi filtrem /DCTDecode, co powoduje, że Pillow wybiera i uruchamia niezamierzony parser obrazów podczas ładowania obrazu. Środowiska bez opcjonalnej zależności Pillow nie są podatne. Problem naprawiono w wersji 6.21.1.

Występuje ujawnienie poufnych informacji i możliwość manipulacji z powodu nieprawidłowych kontroli autoryzacji. Podatność dotyczy produktów Acronis Cyber Infrastructure (ACI) w wersjach przed build 6.0.1-112, 6.1.1-64 i 6.2.1-71.