Katalog podatności CVE

Cloud Controller (CAPI) ujawnia poufne dane w logach audytu w wielu miejscach: dane uwierzytelniające niestandardowych buildpacków są widoczne w zdarzeniach audytu dla aplikacji manifestu, tworzenia i aktualizacji; dane uwierzytelniające URL syslog drain są widoczne w zdarzeniach audytu instancji usług dostarczonych przez użytkownika; a parametry powiązań usług są ujawniane w zdarzeniach audytu manifestu aplikacji i powiązań usług.

Konfiguracja routingu Nginx dla Cloud Controller blokuje nieuwierzytelniony dostęp do endpointów /internal/v4/ i /internal/v5/, ale pomija równoważną regułę deny dla /internal/v3/. W efekcie endpointy callbacków stagingu /internal/v3/staging/:guid/droplet_completed i /internal/v3/staging/:guid/build_completed są osiągalne z publicznego listenera API bez OAuth ani mutual TLS.

Użytkownik z rolą SpaceSupporter może nieprawidłowo modyfikować polecenie startowe aplikacji i buildpack — działania wymagające uprawnień SpaceDeveloper. Ta eskalacja uprawnień umożliwia nieautoryzowane pozyskanie danych uwierzytelniających usług poprzez złośliwe polecenia startowe lub niestandardowe buildpacki.

Użytkownik z uprawnieniami SpaceDeveloper może zmodyfikować URL brokera w zakresie przestrzeni bez zmiany jego danych uwierzytelniających, umożliwiając wyodrębnienie istniejących danych uwierzytelniających brokera poprzez przekierowanie ich do brokera pod swoją kontrolą. CF API nie pozwala na bezpośredni odczyt danych uwierzytelniających brokera, co czyni to pośrednią metodą wyodrębnienia.

W gcc wykryto lukę. Atakujący może wywołać atak denial-of-service (DoS), przekazując ciąg znaków niezakończony znakiem null do funkcji std::from_chars() w bibliotece libstdc++. Powoduje to odczyt poza granicami przydzielonego bufora, co może prowadzić do nieprawidłowego parsowania danych lub awarii aplikacji.

Podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych w module JSON biblioteki standardowej Elixir pozwala nieuwierzytelnionemu atakującemu dostarczającemu dokument JSON na wywołanie ataku denial-of-service poprzez wyczerpanie CPU i pamięci. JSON.decode/1 i JSON.decode!/1 konwertują każdy literał całkowity za pomocą erlang:binary_to_integer/1 bez ograniczenia jego długości.

Podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych w module URI biblioteki standardowej Elixir pozwala atakującemu dostarczającemu URL na wywołanie ataku denial-of-service poprzez wyczerpanie CPU. URI.parse/1 konwertuje komponent portu za pomocą String.to_integer/1 w split_authority/1 bez ograniczenia jego długości.

W urządzeniach Teltonika Networks RUTOS (wersje 7.22–7.24.2) oraz TSWOS (wersje 1.9–1.10) istnieje luka pozwalająca nieuwierzytelnionemu użytkownikowi na bezpośrednie wywoływanie funkcji LUA z pominięciem walidacji stosowanych przy normalnych żądaniach API. Ponieważ żądania te nie przechodzą prawidłowych przepływów, może to prowadzić do wykonania poleceń w systemie operacyjnym.

W bibliotece libstdc++ kompilatora GCC wykryto błąd: podczas wyodrębniania danych do bitsetu ze strumienia szerokich znaków wewnętrzna alokacja pamięci na stosie nie uwzględnia prawidłowo rozmiaru i wyrównania znaków. Atakujący mogący dostarczyć spreparowane dane wejściowe do podatnej aplikacji może wywołać przepełnienie bufora na stosie prowadzące do odmowy usługi (DoS).

W komponencie libstdc++ kompilatora GCC występuje błąd: atakujący mogący podać nadmiernie dużą liczbę elementów do konstruktora wektora boolowskiego (std::vector<bool>) może wywołać przepełnienie całkowite podczas wewnętrznych obliczeń pamięci. Prowadzi to do niespójnego stanu kontenera, dostępu do pamięci poza granicami i w konsekwencji awarii aplikacji lub odmowy usługi (DoS) podczas kolejnych operacji.

W kompilatorze GCC wykryto lukę polegającą na dostępie do pamięci poza granicami w implementacji równoległego wyszukiwania w libstdc++, spowodowaną zbyt małym wewnętrznym buforem. Lokalny atakujący może wykorzystać tę lukę, dostarczając spreparowane dane wyszukiwania do aplikacji skompilowanej w trybie równoległym, powodując awarię procesu i odmowę usługi (DoS).

Wtyczka Gravity Forms dla WordPressa w wersjach do 3.1.2 włącznie jest podatna na przechowywane cross-site scripting poprzez pole List z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykorzystanie wymaga kliknięcia przez administratora wstrzykniętego linku w widoku szczegółów wpisu i potwierdzenia okna dialogowego.

Wtyczka Gravity Forms dla WordPressa w wersjach do 3.1.1 włącznie jest podatna na przechowywane cross-site scripting poprzez wartości pól Post Excerpt, Post Custom Field oraz Rich-Text Paragraph z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu. Pola te pozwalają na przesyłanie surowego HTML przez allow_html(), a encja zakodowana w atrybucie data-dialog-confirm omija wp_kses_post() przy zapisie, ale jest dekodowana do wykonywalnego znacznika przez insertAdjacentHTML() w JavaScriptzie administratora.

Wtyczka Formidable Forms dla WordPressa w wersjach do 6.35 włącznie jest podatna na instalację dowolnych wtyczek poprzez parametr 'file_url'. Wynika to z niewystarczającej walidacji prefiksu URL w validate_url_is_in_s3_bucket() oraz callbacku uprawnień opierającego się wyłącznie na wspólnym tokenie dostępnym dla użytkowników z uprawnieniem frm_view_forms, bez sprawdzania install_plugins lub activate_plugins. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może zainstalować dowolne wtyczki na serwerze, o ile witryna korzysta tylko z darmowej wersji (Formidable Pro nie jest zainstalowane).

W autoryzatorze ACL Kroxylicious wykryto błąd. Logika dopasowywania prefiksów może zastosować regułę do podmiotu innego typu lub nie sprawdzić szerszej reguły dopasowania, gdy prefiksy się nakładają. W zależności od konfiguracji ACL może to pozwolić uwierzytelnionemu klientowi Kafki na dostęp do zasobu (np. odczyt tematu), który powinien być zabroniony.

W kompilacjach jądra Red Hat Enterprise Linux 9 wykryto błąd. Niekompletny backport poprawki CVE-2026-46099 w RHEL 9.6 do 9.10 pozostawił niezrównoważenie local_bh w seg6_input_core(), gdzie ścieżka odrzucenia zwraca z wciąż wyłączonymi dolnymi połówkami. Może to prowadzić do zagłodzenia softirq i odmowy usługi w systemach ze skonfigurowanymi tunelami SRv6. Upstream i RHEL 10 nie są dotknięte.

Wtyczka Food Store – Online Food Delivery & Pickup dla WordPressa w wersjach do 1.5.5 włącznie jest podatna na przechowywane cross-site scripting poprzez parametr 'service_time' z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu. Wykorzystanie wymaga wyłączenia opcji 'Enable Checkout Service Fields' (konfiguracja niebędąca domyślną) przy jednoczesnym włączeniu 'Enable Pickup/Delivery Service'.

Wtyczka AI Engine – The Chatbot, AI Framework & MCP dla WordPressa w wersjach do 3.8.6 włącznie jest podatna na brak autoryzacji. Endpoint rejestracji klienta OAuth 2.1 (/wp-json/mcp/v1/oauth/register) jest zarejestrowany z permission_callback równym __return_true, co pozwala nieuwierzytelnionemu użytkownikowi zarejestrować aktywny klient OAuth z kontrolowanym przez atakującego redirect URI. Po zatwierdzeniu klienta przez administratora na ekranie zgody OAuth atakujący może uzyskać token dostępu MCP powiązany z administratorem i pełną kontrolę administracyjną; strona zgody nie ma nagłówków X-Frame-Options ani CSP frame-ancestors, co umożliwia clickjacking.

Wtyczka Gravity Forms dla WordPressa w wersjach do 3.1.2 włącznie jest podatna na wstrzyknięcie obiektu PHP poprzez pole niestandardowe wpisu typu List. Wartość pola jest przekazywana do globalnej funkcji maybe_unserialize() bez ograniczeń zamiast do utwardzonej GFCommon::maybe_unserialize(), co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć obiekt PHP do metadanych wpisu. Jeśli w innym pluginie lub motywie istnieje łańcuch gadgetów, może to prowadzić do zdalnego wykonania kodu.

Wtyczka Content Egg dla WordPressa w wersjach do 12.0.0 włącznie nie weryfikuje poprawnie uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z rolą autora lub wyższą może tworzyć wpisy przypisane do konta innego użytkownika (zwykle administratora), podając należący do administratora preset_id.