Katalog podatności CVE

W oprogramowaniu Progress MOVEit Transfer występuje podatność polegająca na niewystarczającym wygaszaniu sesji. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W module Client Certificates oprogramowania Progress MOVEit Transfer występuje podatność polegająca na nieprawidłowej autoryzacji. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W module LDAP oprogramowania Progress MOVEit Transfer występuje podatność LDAP injection wynikająca z nieprawidłowej neutralizacji znaków specjalnych w zapytaniach LDAP. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W module OIDC oprogramowania Progress MOVEit Transfer występuje podatność umożliwiająca obejście uwierzytelniania poprzez atak typu capture-replay. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W module Ad Hoc oprogramowania Progress MOVEit Transfer występuje podatność cross-site scripting (XSS) wynikająca z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

W module LDAP oprogramowania Progress MOVEit Transfer występuje podatność polegająca na pominięciu krytycznego kroku w procesie uwierzytelniania. Podatność dotyczy wersji przed 2025.1.6 oraz od 2026.0.0 do 2026.0.4.

Podatność w Progress MOVEit Transfer pozwala na obejście uwierzytelniania poprzez użycie alternatywnej ścieżki lub kanału. Problem dotyczy wersji przed 2025.1.6 oraz wersji od 2026.0.0 do 2026.0.4.

Podatność w Progress MOVEit Transfer wynika z nieprawidłowego przypisania uprawnień do krytycznego zasobu. Problem dotyczy wersji przed 2025.1.6 oraz wersji od 2026.0.0 do 2026.0.4.

W util-linux przed wersją 2.41.4 funkcja parse_dos_extended() w libblkid/src/partitions/dos.c oblicza sektor początkowy partycji rozszerzonej za pomocą dodawania 32-bitowego i nie stosuje kontroli granic obszaru rozszerzonego do pierwszych dwóch wpisów EBR. Lokalny atakujący, który spowoduje przeskanowanie spreparowanego obrazu dysku lub nośnika z rozszerzoną partycją DOS, może spowodować zawinięcie cur_start + start do sektora zerowego i fałszywe zgłoszenie partycji nakładającej się na MBR.

W util-linux w wersjach od 2.39.1 do 2.41.4 oraz od 2.42 do 2.42.1 narzędzie SUID mount odczytuje kontrolowaną przez atakującego zmienną środowiskową LIBMOUNT_FORCE_MOUNT2 za pomocą getenv(), co pozwala lokalnemu użytkownikowi o niskich uprawnieniach wymusić nieatomową, starszą ścieżkę montowania bind. Przy montowaniu bind w /etc/fstab autoryzowanym przez user lub users i chronionym przez nosuid, noexec lub nodev, atakujący może wykorzystać wyścig między początkowym montowaniem bind a ponownym montowaniem stosującym te flagi bezpieczeństwa i wykonać program SUID z tymczasowo niechronionego montowania, potencjalnie uzyskując uprawnienia roota.

Portkey AI Gateway w wersjach od 1.14.0 do 1.15.2 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym na dostęp do usług loopback i hosta Docker, ponieważ isValidCustomHost ufa hostom w stylu localhost, gdy TRUSTED_CUSTOM_HOSTS nie jest ustawione. Atakujący mogą wysyłać żądania /v1 ze spreparowanym nagłówkiem x-portkey-custom-host, na przykład przez dostawcę ollama, aby zmusić bramę do wywołania usług wewnętrznych i zwrócenia ich odpowiedzi.

W mise przed wersją 2026.7.14, w domyślnym trybie non-safe, mise ładuje .mise.toml [settings] z niezaufanego lokalnego projektu przed zatwierdzeniem zaufania, a strip_local_only_settings usuwa tylko pola oznaczone jako global_only. Ustawienia unix_default_file_shell_args, unix_default_inline_shell_args, windows_default_file_shell_args i windows_default_inline_shell_args nie były oznaczone jako global_only, co pozwala repozytorium zastąpić domyślne argumenty interpretera używane przez zaufane zadania bez jawnego shella, dyrektywy postinstall, operacje exec szablonów lub hooki, które korzystają z domyślnego shella. Gdy mise dołącza zaufane polecenie po argumentach interpretera kontrolowanych przez atakującego, wybrane przez atakującego polecenie może zostać wykonane jako pierwsze z uprawnieniami konta dewelopera, mimo że lokalna konfiguracja nigdy nie została zaufana.

W OmniFaces w wersjach przed 1.14.3, 2.7.33, 3.14.23, 4.7.12 i 5.4.2, CombinedResourceHandler akceptuje strukturalnie poprawne, zdeflowane i zakodowane w base64 połączone ID zasobu bez weryfikacji, czy zostało ono wydane przez serwer. Sfałszowane ID może spowodować nieograniczone wyjście po dekodowaniu, dodanie unikalnych zrekonstruowanych ID do cache'u o czasie życia procesu lub łączenie zasobów innych niż arkusze stylów i skrypty. Ponieważ jakarta.faces.RESOURCE_EXCLUDES nie jest stosowane przez tę niestandardową ścieżkę rozwiązywania, sfałszowane ID może ujawnić źródło Facelets z drzewa zasobów aplikacji webowej lub META-INF/resources. W konfiguracji z mapowaniem CDN z symbolem wieloznacznym, sfałszowane ID wybierające omnifaces.graphic może również spowodować ślepe, zależne od wdrożenia pobranie po stronie serwera, którego cel częściowo pochodzi z nagłówka Host żądania. Luka nie zapewnia dowolnego odczytu plików ani nie ustanawia SSRF o dowolnym schemacie lub celu. Wspólna awaria autentyczności pozwala na wyczerpanie pamięci i ograniczone ujawnienie zasobów.

W Angular przed wersjami 20.3.32, 21.2.24 i 22.2.0 parser URL @angular/router przechowuje numeryczne nazwy parametrów macierzy i numeryczne nazwy outletów jako właściwości na początkowo pustych obiektach JavaScript podczas renderowania po stronie serwera w Node.js. V8 może interpretować te klucze pochodzące z URL jako indeksy tablicy i alokować gęste magazyny o rozmiarze odpowiadającym wysokim wartościom numerycznym, więc powtarzające się małe segmenty ścieżki powodują nieproporcjonalne zużycie sterty na segment. Nieuwierzytelniony atakujący może wysyłać nakładające się żądania zawierające powtarzające się numeryczne parametry macierzy, gdy SSR jest włączone, router bezpośrednio parsuje URL żądania, a proxy nadrzędne zezwalają na średniki i wiele segmentów ścieżki, ostatecznie wyczerpując stertę old-space Node.js i kończąc proces roboczy SSR. Czysto klienckie aplikacje Angular nie są dotknięte.

Podatność w Prowler (wersje 5.4.0 do 5.35.0) pozwala nieuwierzytelnionemu atakującemu na przejęcie konta użytkownika, który nie ukończył jeszcze rejestracji. Dzieje się tak, ponieważ logowanie przez Google lub GitHub jest automatycznie łączone z istniejącym lokalnym kontem o tym samym adresie e-mail, bez weryfikacji, że adres należy do tej samej osoby. Atakujący może zarejestrować konto z adresem e-mail ofiary, a następnie uzyskać trwały dostęp do jej danych, w tym poświadczeń chmury, wyników skanów i członkostw w dzierżawach.

NGINX Plus i NGINX Open Source mają podatność w module ngx_http_core_module. Gdy asynchroniczne I/O plików (AIO) jest włączone w niektórych konfiguracjach, przetwarzanie strony Server Side Includes (SSI) zawierającej polecenia „include virtual” może wywołać Use-After-Free (UAF) w procesie roboczym NGINX. Może to spowodować uszkodzenie pamięci lub awarię procesu roboczego. Dodatkowo atakujący mogą wykonać kod w systemach z wyłączonym Address Space Layout Randomization (ASLR) lub gdy atakujący może obejść ASLR.

Podatność w F5 NGINX Kubernetes Ingress Controller (NIC) przy użyciu polityki ExternalAuth lub zewnętrznego uwierzytelniania Ingress. Nagłówki X-Forwarded-Prefix, X-Forwarded-URI, X-Original-URI i X-Forwarded-Method są przekazywane bez sanityzacji do wewnętrznego podżądania uwierzytelniającego, co pozwala nieuwierzytelnionemu atakującemu na podszywanie się pod atrybuty żądania oceniane przez zewnętrznego dostawcę uwierzytelniania.

Podatność w NGINX Plus i NGINX Open Source, gdy dyrektywa map używa dopasowania regex, a dyrektywa root lub format logu dostępu odwołuje się do zmiennych przechwytywania regex przed zmienną wyjściową mapy. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie sterty w procesie roboczym NGINX, co prowadzi do restartu lub potencjalnie wykonania kodu.

Podatność w NGINX Gateway Fabric, gdzie pole spec.basic.realm (i spec.jwt.realm) w namespaced AuthenticationFilter jest renderowane bez escape i walidacji do wspólnego nginx.conf jako auth_basic "<realm>";. Uwierzytelniony atakujący z dostępem do namespace może wstrzyknąć dowolne dyrektywy NGINX do konfiguracji warstwy danych bramy.

Niekompletna poprawka dla CVE-2026-12996. Use-after-free w OpenVPN 2.6.0 do 2.6.22 oraz 2.7_alpha1 do 2.7.7 pozwala zdalnym uwierzytelnionym peerom na potencjalne spowodowanie denial-of-service lub wycieku pamięci poprzez spreparowane pakiety podczas promocji lub wygaśnięcia sesji TLS.