Katalog podatności CVE

W jądrze Linuxa zidentyfikowano podatność związaną z brakiem wsparcia dla operacji mremap w uacce_vm_ops. Wprowadzono poprawkę, aby metoda .mremap zwracała -EPERM, co ma na celu poinformowanie użytkowników o tym ograniczeniu.

Podatność CVE-2026-4923 dotyczy generowania wyrażeń regularnych, które są podatne na ataki ReDoS, gdy używane są wieloznaczniki w połączeniu z co najmniej jednym parametrem. Wymaga to, aby drugi wieloznacznik znajdował się w miejscu innym niż koniec ścieżki.

W niektórych procesorach AMD występuje podatność na wykonanie przejściowe, która może umożliwić atakującemu wnioskowanie danych w pamięci podręcznej L1D, co potencjalnie prowadzi do wycieku wrażliwych informacji przez granice uprawnień.

Podatność w mysql2 (w pliku lib/compressed_protocol.js, linia 43), gdzie zlib.inflate jest używany do dekompresji pakietów. Gdy połączenie jest ustawione z compress: true i serwer obsługuje CLIENT_COMPRESS, każdy przychodzący pakiet jest dekompresowany bez ograniczeń, co może prowadzić do nadmiernego użycia pamięci lub DoS.

Parser adresów e-mail w Nodemailer traktuje komentarz RFC 5322 (w nawiasach) w domenie jako miejsce łączenia tekstu, zamiast jako białe znaki składane (CFWS), które kończą domenę. To może prowadzić do błędnego parsowania adresu, np. [email protected](x)evil.c..., umożliwiając atakującemu przekierowanie wiadomości lub obejście walidacji.

Opcje disableFileAccess i disableUrlAccess w Nodemailer służą jako piaskownica uniemożliwiająca niezaufanej treści wiadomości czytanie lokalnych plików lub wykonywanie żądań HTTP(S). Poprawka dla wcześniejszej podatności (GHSA-wqvq-jvpq-h66f) może być niekompletna, umożliwiając obejście zabezpieczeń.

Biblioteka gorilla/websocket używała generatora liczb pseudolosowych math/rand (kryptograficznie słabego) do generowania kluczy maskowania ramek WebSocket. Klucze muszą być nieprzewidywalne, aby zapobiec wstrzykiwaniu treści do ramek.

Nodemailer rozwiązuje międzynarodowe (IDN / nie-ASCII) domeny odbiorcy na inny etykietę Punycode (xn--) niż standardowe parsery zgodne z UTS-46 (np. przeglądarki, URL Standard, Node's url.domainToASCII, Python's idna). Jego normalizator adresów _normalizeAddress może prowadzić do błędnego rozpoznania domeny, co może być wykorzystane do ataków typu phishing lub przejęcia wiadomości.

Podatność dotyczy komponentu ViewComponent w Ruby, powiązana z wcześniejszym CVE-2026-54497. Poprawka polegała na wywołaniu __vc_reset_render_state! w render_in, aby czyścić trzy zmienne instancji (@__vc_controller, @__vc_helpers, @__vc_request) przy każdym renderowaniu i zapobiec wyciekowi danych poprzedniego żądania przy ponownym użyciu instancji ViewComponent::Base.