Katalog podatności CVE

Podatność przepełnienia bufora w HPE NonStop ODBC/MX Services może powodować uszkodzenie pamięci, prowadząc do awarii aplikacji.

W EspoCRM od wersji 8.1.0 do 9.3.8 uwierzytelniony nieadministrator może przesłać spreparowany parametr where do endpointu GET entity streamAttachments, ponieważ ta ścieżka zapytania pozwala na złożone wyrażenia. Ślepa iniekcja SQL oparta na wartościach logicznych może wyodrębnić dowolne informacje z bazy danych, w tym aktywne tokeny sesji administratorów, i umożliwić pełną eskalację uprawnień.

Podatność lokalnej eskalacji uprawnień w TotalAV pozwala nieuprzywilejowanemu lokalnemu użytkownikowi sfałszować token uwierzytelniający gRPC IPC poprzez załadowanie IPC.dll i wykorzystać usługę SYSTEM w TotalAV do wykonania dowolnego kodu jako NT AUTHORITY\SYSTEM.

W komponencie Symfony YAML przed wersjami 5.4.54, 6.4.45, 7.4.18 i 8.1.6 metoda Yaml\Parser::lexInlineStructure() rekurencyjnie przetwarzała każdy znak { i [ w kolekcji inline, nie wchodząc na poziom zagnieżdżenia ograniczany przez maxNestingLevel. Dokument z głęboko zagnieżdżonymi kolekcjami inline, np. [[[[...]]]], wyczerpywał stos podczas analizy, powodując awarię procesu lub błąd fatalny żądania. Podatność dotyczy każdego kodu parsującego niezaufany YAML, w tym #[MapRequestPayload], gdy komponent Yaml jest zainstalowany, a endpoint nie ogranicza acceptFormat.

W Progress Kendo UI for jQuery przed wersją v2026.3.1015 specjalnie spreparowane wartości filtrów w transporcie PivotGrid XMLA mogły zmieniać predykaty MDX lub wstrzykiwać znaczniki XML do żądań SOAP. Może to prowadzić do ujawnienia danych dostępnych przez skonfigurowane połączenie XMLA.

W Symfony http-foundation przed wersjami 5.4.54, 6.4.46, 7.4.19 i 8.1.7 metoda HeaderUtils::split() parsowała wartości nagłówków wzorcem, którego alternatywa tokenu dopasowywała również białe znaki, z negatywnym lookbehind (?<!\s). Ciąg białych znaków przed separatorem mógł być dzielony na wykładniczo wiele sposobów, powodując wysokie zużycie CPU. HeaderBag wywołuje tę metodę dla nagłówka Cache-Control przy każdym budowaniu Request, więc każda aplikacja obsługująca żądania HTTP jest narażona bez uwierzytelnienia. Od 18 spacji preg_match_all() osiąga limit pcre.backtrack_limit, a split() zwraca pustą tablicę, przez co dyrektywy nagłówka są po cichu odrzucane.

P4 Search (dawniej Helix Search) zwraca zapisane poświadczenia w postaci jawnej przez swoje API konfiguracji użytkownikom z uprawnieniami administracyjnymi na podłączonym serwerze P4. Umożliwia to eskalację uprawnień. Podatność dotyczy wersji 2026.4.2 i wcześniejszych, została naprawiona w 2026.4.3.

P4 Search (dawniej Helix Search) pozwala uwierzytelnionemu użytkownikowi z uprawnieniami administracyjnymi na podłączonym serwerze P4 dostarczyć spreparowaną konfigurację logowania, która powoduje zapis lub usunięcie plików poza zamierzonym katalogiem logów. Może to prowadzić do wykonania kodu jako konto usługi P4 Search. Podatność dotyczy P4 Search 2026.4.2 i wcześniejszych; Perforce naprawił ją w 2026.4.3.

W serwisie Eclipse Adoptium (adoptium.net) strona po pobraniu /[locale]/download pobiera adres URL z parametru zapytania "link" i automatycznie na niego przechodzi za pomocą meta http-equiv="refresh". Adres jest weryfikowany względem listy zaufanych prefiksów przy użyciu String.startsWith() na surowym ciągu, podczas gdy przeglądarka stosuje normalizację segmentów kropkowych zgodnie z RFC 3986 przed nawigacją, więc wartość taka jak https://github.com/adoptium/temurin/../../attacker/malware/releases/download/v1/jdk.exe przechodzi weryfikację, ale prowadzi do repozytorium kontrolowanego przez atakującego. Ofiara, która kliknie spreparowany link adoptium.net, zobaczy prawdziwą stronę "Thank you for downloading Eclipse Temurin", podczas gdy jej przeglądarka pobierze plik binarny wybrany przez atakującego.

Enterprise Architect jest podatny na wstrzyknięcie zewnętrznych encji XML (XXE) w funkcji XSLT Debugger. Gdy użytkownik wczyta spreparowany plik XML zawierający DOCTYPE z odwołaniem do zewnętrznego DTD, parser przetwarza zewnętrzne encje, umożliwiając atakującemu odczyt dowolnych plików z systemu ofiary. Z powodu nieudanych prób kontaktu z dostawcą podatność potwierdzono tylko w wersji 17.1, ale może dotyczyć również innych wersji.

Podatność w HPE NonStop SQL/MX UDR SERVER może pozwolić spreparowanej wiadomości na spowodowanie zakończenia procesu, zakłócenia usługi lub uszkodzenia pamięci, prowadząc do niezdefiniowanego zachowania.

W wersjach `api-gateway` do `1.7.3` domyślny resolver klucza limitu szybkości, `ClientIpKeyResolver`, wyznacza klucz kubełka dla klienta na podstawie skrajnie lewego elementu nagłówka żądania `X-Forwarded-For`. Element ten jest dostarczany przez klienta HTTP i nie jest weryfikowany względem żadnej listy zaufanych proxy. Pojedynczy atakujący może więc uzyskać nieograniczoną liczbę niezależnych kubełków limitu szybkości — po jednym na każdą unikalną wartość nagłówka — i całkowicie obejść ograniczanie szybkości żądań na każdej trasie korzystającej z domyślnej konfiguracji.

W api-gateway w wersjach do 1.7.3 domyślny resolver klucza limitu szybkości, ClientIpKeyResolver, wyznacza klucz kubełka dla klienta na podstawie skrajnie lewego elementu nagłówka X-Forwarded-For. Element ten jest dostarczany przez klienta HTTP i nie jest weryfikowany względem listy zaufanych proxy. Pojedynczy atakujący może uzyskać nieograniczoną liczbę niezależnych kubełków limitu szybkości — po jednym na unikalną wartość nagłówka — i całkowicie obejść limit szybkości żądań na każdej trasie używającej domyślnej konfiguracji.

Podatność typu Cross-site Scripting (XSS) w wtyczce Social Share Buttons firmy maxfoundry (share-button) pozwala na przechowywane XSS. Podatność dotyczy Social Share Buttons w wersjach od n/a do 1.31.

Podatność polegająca na nieprawidłowym przypisaniu uprawnień w wtyczce Fluent CRM firmy WP ManageNinja LLC (fluent-crm) pozwala na eskalację uprawnień. Podatność dotyczy Fluent CRM w wersjach od n/a do 3.2.5.

Wtyczka User Registration (ThemeGrill) do WordPressa w wersjach do 5.2.8 zawiera błąd braku autoryzacji, który pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Link Whisper Free w wersjach do 0.9.7 zawiera podatność typu Reflected XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.

Wtyczka Webba Booking w wersjach do 6.5.2 zawiera podatność polegającą na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność Path Traversal (CWE-22) w funkcji execute_obj przeglądarki archiwów PeaZip (peach.pas) w wersji 11.2.0 i wcześniejszych na Windows pozwala na wykonanie dowolnego programu obecnego w systemie ofiary. Atakujący musi przekonać ofiarę do użycia akcji „Preview with... -> Associated application” (Shift+Ctrl+O) na spreparowanym wpisie archiwum, którego nazwa zawiera sekwencję „../”, co pozwala uciec z katalogu tymczasowego i przekazać ścieżkę do ShellExecuteW bez ostrzeżenia. Luka wynika z braku walidacji ciągu tempstring oraz braku sprawdzenia zawierania ścieżki w checkfiledirname.

Podatność bezpieczeństwa w HPE NonStop SQL/MX SQLCAT może pozwolić nieuwierzytelnionemu użytkownikowi na wykonanie nieautoryzowanych poleceń.