Katalog podatności CVE

Podatność w bibliotece Go crypto/tls pozwala na atak DoS poprzez przesyłanie bardzo dużych kluczy RSA w łańcuchach certyfikatów, co powoduje znaczne obciążenie CPU podczas weryfikacji podpisów. Naprawa ogranicza rozmiar kluczy RSA przesyłanych podczas uzgadniania połączenia do maksymalnie 8192 bitów.

Klient HTTP/1 w języku Go nie w pełni weryfikuje zawartość nagłówka Host. Złośliwie spreparowany nagłówek Host może umożliwić wstrzyknięcie dodatkowych nagłówków lub całych żądań. Poprawka uniemożliwia wysyłanie żądań z nieprawidłową wartością Request.Host lub Request.URL.Host.

Nodemailer wyłącza weryfikację certyfikatów TLS w swoim wewnętrznym kliencie HTTPS, ustawiając rejectUnauthorized: false w pliku lib/fetch/index.js. Powoduje to, że żądania tokenów OAuth2 ufają nieprawidłowym lub samopodpisanym certyfikatom HTTPS.

runc 1.1.13 i wcześniejsze oraz 1.2.0-rc2 i wcześniejsze mogą zostać oszukane do tworzenia pustych plików lub katalogów w dowolnych lokalizacjach w systemie plików hosta poprzez współdzielenie woluminu między dwoma kontenerami i wykorzystanie określonych operacji.

Biblioteka compose-go w wersjach v2.10-v2.4.0 pozwala autoryzowanemu użytkownikowi, który wysyła złośliwe ładunki YAML, na spowodowanie nadmiernego zużycia pamięci i cykli CPU podczas parsowania YAML, co jest wykorzystywane przez Docker Compose w wersjach od v2.27.0 do v2.29.7.

libcurl obsługuje przypinanie klucza publicznego certyfikatu serwera dla transferów HTTPS. Z powodu pominięcia, sprawdzenie to nie jest wykonywane podczas łączenia z QUIC dla HTTP/3, gdy backend TLS to wolfSSL. Dokumentacja mówi, że opcja działa z wolfSSL, ale nie precyzuje, że nie działa dla QUIC.

Z powodu błędu w kodzie WebSocket w libcurl, złośliwy serwer może wysłać specjalnie spreparowany pakiet, który powoduje, że libcurl wpada w nieskończoną pętlę busy-loop. Aplikacja nie może uciec z tej pętli inaczej niż przez zabicie wątku/procesu. Może to być użyte do DoS.

Podatność w pakiecie iscsi-initiator-utils dotyczy zapisu poza granicami bufora i ujawnienia informacji przez niezweryfikowaną długość ładunku IPv6. Specjalnie spreparowane żądania ICMPv6 Echo mogą spowodować, że demon iscsiuio zaufa zawyżonej wartości ipv6_plen, większej niż faktycznie odebrany ładunek.

Pakiet iscsi-initiator-utils w wersji 6.2.1.11-0.git4b3e853.el10 zawiera podatność na przepełnienie bufora stosu w funkcji idbm_recinfo_config. Złośliwy cel iSCSI może wstrzyknąć dodatkową linię konfiguracji do zapisanego rekordu węzła poprzez spreparowany TargetName w SendTargets, co później może spowodować przepełnienie bufora stosu.

libcurl przypadkowo pomija weryfikację certyfikatu dla połączeń QUIC, gdy łączy się z hostem podanym jako adres IP w URL. W związku z tym nie wykrywa oszustów ani ataków man-in-the-middle.

Funkcja curl_url_get() w libcurl oferuje konwersje punycode do i z IDN. Przy konwersji nazwy o dokładnie 256 bajtach, libcurl czyta poza buforem na stosie, gdy używany jest backend IDN macidn.

Użycie tej biblioteki w kontekście krytycznym dla bezpieczeństwa może prowadzić do wycieku wrażliwych informacji, jeśli jest używana do przetwarzania wrażliwych pól. OpenBao (i prawdopodobnie HashiCorp Vault) ujawniają komunikaty błędów z mapstructure.

Moduł email w Pythonie do wersji 3.11.3 błędnie parsuje adresy e-mail zawierające znaki specjalne. Nieprawidłowa część nagłówka RFC2822 jest identyfikowana jako wartość addr-spec.

Podatność w bibliotece database/sql języka Go pozwala na wyścig podczas anulowania zapytania w trakcie skanowania wyników. Równoczesne anulowanie kontekstu i wywołanie metody Scan może nadpisać oczekiwane rezultaty.

Funkcja RedirectSlashes w middleware/strip.go jest podatna na wstrzyknięcie nagłówka Host, co prowadzi do otwartego przekierowania. Podatność ma niższy priorytet, ponieważ nie może być wykorzystana z przeglądarek ani klientów pocztowych.

Podatność w mechanizmie przekierowań między domenami powoduje, że nagłówki Proxy-Authorization i Proxy-Authenticate są zachowywane, co może prowadzić do wycieku wrażliwych danych uwierzytelniających.

Doradztwo bezpieczeństwa GHSA-2hw4-c9m4-f2fj dotyczy komponentu knative/pkg. Weryfikacja z 19 maja 2026 potwierdziła end-to-end wzmocnienie ataku (amplifikację) na poziomie 4,5×, co jest wynikiem gorszym niż konserwatywne 2× deklarowane w doradztwie. Zbudowano dowód koncepcji w Go (cmd/poc-c2/main.go).

Podatność w implementacji asemblerowej wewnętrznej funkcji kryptograficznej na architekturze ppc64le powoduje wyciek kilku bitów sekretnych skalarów z powodu użycia instrukcji o zmiennym czasie wykonania. Ze względu na sposób użycia tej funkcji, wyciek nie jest wystarczający do odzyskania klucza prywatnego.

Podatność w pakiecie os standardowej biblioteki Go umożliwia nieprawidłowy dostęp do katalogu nadrzędnego os.Root poprzez otwarcie nazwy pliku kończącej się na "../". Na przykład wywołanie Root.Open("../") otwiera katalog nadrzędny, co stanowi naruszenie ograniczeń dostępu.

Klient HTTP w Go usuwa wrażliwe nagłówki (np. Authorization) po przekierowaniu między domenami, ale może je ponownie wysłać przy kolejnym przekierowaniu w obrębie tej samej domeny, co stanowi potencjalne ryzyko wycieku danych.