Katalog podatności CVE

Wtyczka Broadcast Live Video od VideoWhisper.com do wersji 7.3.2 zawiera podatność na fiksację sesji (Session Fixation), która umożliwia przechwycenie sesji użytkownika.

Wtyczka SureCart od Brainstorm Force do wersji 4.9.3 zawiera podatność na deserializację niezaufanych danych, która umożliwia wstrzyknięcie obiektów (Object Injection).

Wtyczka SureCart od Brainstorm Force do wersji 4.9.3 zawiera podatność na Reflected Cross-site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

Google Cloud Application Integration przed wersją 2026-08-27 zawiera podatność na nieprawidłową autoryzację w walidacji AuthConfig i środowisku wykonawczym integracji, która pozwala uwierzytelnionemu użytkownikowi na eskalację uprawnień i podszycie się pod konto usługi w projekcie. Podatność została załatana 27 sierpnia 2026 roku i nie wymaga działań ze strony klienta.

W komponencie HPE NonStop SNMP Trap Multiplexer wykryto lukę bezpieczeństwa, która może umożliwić zdalne wykonanie kodu. Szczegóły techniczne nie zostały podane w opisie.

W komponencie HPE NonStop DNS 9.2.3 Non Secure Version wykryto lukę bezpieczeństwa, która może powodować odmowę usługi (Denial of Service). Szczegóły techniczne nie zostały podane w opisie.

Podatność nieprawidłowego uwierzytelniania w mechanizmie wieloskładnikowego uwierzytelniania (MFA) w TSplus Remote Access. Zdalny atakujący uwierzytelniony prawidłowymi danymi pierwszego czynnika może ominąć weryfikację drugiego czynnika, ponieważ przepływ uwierzytelniania niepoprawnie stosuje wynik walidacji MFA, co pozwala atakującemu na ukończenie logowania bez ważnego tokena drugiego czynnika i uzyskanie dostępu do chronionych aplikacji i zasobów.

Podatność w serwerze WWW TSplus Remote Access dotyczy niewłaściwej kontroli dostępu. Nieuwierzytelniony zdalny atakujący może uzyskać dostęp do wewnętrznych zasobów, manipulując ścieżkami przez endpoint /socket.io/JWN/, omijając ograniczenia dostępu.

Podatność braku autoryzacji w JetFormBuilder od Crocoblock pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 3.6.6 włącznie.

Podatność SQL Injection w Modern Events Calendar Lite od Webnus umożliwia ślepą iniekcję SQL. Dotyczy wersji przed 7.37.0.

Podatność w insights-runtime-extractor pozwala nieuprzywilejowanemu tenantowi na przejęcie kontroli nad węzłem. Proces skanujący nie obniża wystarczająco uprawnień (tylko seteuid, bez zmiany ruid/suid i bez usunięcia capabilities), a następnie wykonuje binarkę kontrolowaną przez workload z uprawnieniami roota w przestrzeni nazw hosta. Atakujący może wykorzystać to do uzyskania pełnego dostępu do węzła przez socket CRI-O.

Podatność w JTL-Shop dotyczy middleware uwierzytelniania w panelu administracyjnym, który przetwarza przełącznik trybu bezpiecznego pluginów na ścieżce wylogowania przed sprawdzeniem uwierzytelnienia. Nieuwierzytelniony atakujący może przełączać tryb bezpieczny pluginów, dezaktywując wszystkie wtyczki i powodując denial of service w całym sklepie.

Podatność polegająca na wstrzyknięciu kodu w Email Template Customizer for WooCommerce od VillaTheme. Dotyczy wersji do 1.3.4 włącznie.

Podatność w NSD dotyczy tokenów tekstu w RDATA (np. rekordów TXT) o długości poniżej 32 bajtów, które nie są sprawdzane pod kątem pozostania w zarezerwowanym obszarze, co pozwala na zapisy poza stosem o dowolnym rozmiarze, w tym nadpisanie wskaźnika funkcji wywołania zwrotnego.

Podatność w NSD dotyczy rekordu HIP, który wypełnia RDATA blisko limitu i zawiera dodatkowe pole dname (serwer rendezvous HIP), co może nadpisać stos danymi kontrolowanymi przez atakującego (do 191 bajtów).

Podatność w NSD dotyczy rekordów SVCB lub HTTPS, które wypełniają RDATA do granicy, a dodatkowy parametr ECH może nadpisać stos, a po przekroczeniu limitu dekoder base64 może zapisać nieograniczoną ilość danych kontrolowanych przez atakującego.

Podatność w NSD dotyczy danych base64 podzielonych na fragmenty o długości 3 znaków lub mniej, gdzie tokeny są niepoprawnie obliczane jako 0 bajtów, co umożliwia atakującym nadpisanie stosu danymi kontrolowanymi przez atakującego (do 64K).

W BusyBox w obsłudze wyodrębniania archiwów dpkg-deb wykryto błąd. Handler archiwów ar opróżnia odroczone dowiązania symboliczne po każdym elemencie archiwum, w przeciwieństwie do handlerów tar, cpio i unzip, które robią to raz po ostatnim elemencie. Specjalnie spreparowane archiwum .deb z dwoma elementami data.tar może spowodować zapis pliku poza docelowym katalogiem wyodrębniania.

W funkcji odwrotnego proxy BusyBox httpd wykryto błąd. Gdy proxy przekazuje żądania pasujące do prefiksu URL do serwera backendu, tylko pierwsze żądanie HTTP w połączeniu TCP ma przepisywaną ścieżkę. Drugie żądanie w potoku jest przekazywane dosłownie do backendu, omijając skonfigurowane ograniczenia ścieżek.

W gst-plugins-base wykryto przepełnienie bufora na stercie. Można je wywołać przetwarzając bufory wideo, których metadane GstVideoMeta deklarują stride i offsety płaszczyzn przekraczające rzeczywisty rozmiar alokacji. Metadane nie są weryfikowane pod kątem zakresu podczas deserializacji, a kod mapowania klatek nie sprawdza, czy zadeklarowana geometria mieści się w buforze.