Katalog podatności CVE

Podatność w WEOLL firmy Global IT Informatics Services Inc. umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co prowadzi do dostępu do funkcjonalności, która nie jest odpowiednio ograniczona przez ACL.

Nuxt to otwartoźródłowy framework do tworzenia aplikacji webowych oparty na Vue.js. W wersjach od 3.11.0 do przed 3.21.7 oraz 4.0.0 do przed 4.4.7 występuje luka związana z obejściem middleware reguł trasowania z powodu niezgodności wrażliwości na wielkość liter między vue-router a matcherem routeRules. Problem został naprawiony w wersjach 3.21.7 i 4.4.7.

W wersjach przed 3.11.4 biblioteka vm2 ma lukę w metodzie BaseHandler.set, która ignoruje parametr receiver i nieprawidłowo zapisuje do obiektu docelowego. To prowadzi do wycieku właściwości dziedziczonych do obiektu hosta, co stwarza możliwość ataku na klucze Symbol w różnych kontekstach.

vm2 to otwarte źródło vm/sandbox dla Node.js. W wersjach przed 3.11.4, NodeVM umożliwiało wykluczenie publicznych modułów sieciowych, jednak wewnętrzne moduły HTTP z podkreśleniem, takie jak _http_client i _http_server, nie były blokowane, co pozwalało na wykonywanie żądań HTTP mimo wykluczenia publicznych modułów.

vm2 to otwarte źródło vm/sandbox dla Node.js. W wersjach przed 3.11.4, nadpisanie Symbol.for w setup-sandbox.js przechwytuje tylko 2 z 9 niebezpiecznych symboli cross-realm Node.js, co pozwala na uzyskanie rzeczywistych symboli cross-realm i kontrolowanie zachowania po stronie hosta.

W bibliotece Netty w modułach netty-transport-sctp przed wersjami 4.1.135.Final i 4.2.15.Final występuje podatność na wyczerpanie zasobów. Dla każdego niekompletnego fragmentu SctpMessage handler tworzy nowy obiekt CompositeByteBuf, co prowadzi do rekurencyjnego zagnieżdżania buforów. Atakujący może wysyłać małe fragmenty bez flagi 'complete', powodując nieograniczony wzrost struktury danych i potencjalne wyczerpanie pamięci.

W bibliotece Netty wykryto podatność polegającą na braku ograniczenia rozmiaru bufora alokowanego podczas obsługi wiadomości ClientHello w protokole TLS. Atakujący może wysłać spreparowane żądanie o rozmiarze do 16 MiB, co prowadzi do natychmiastowej alokacji dużego bufora, który pozostaje w pamięci aż do zamknięcia połączenia, powodując wyczerpanie zasobów.

Podatność w bibliotece Netty dotyczy domyślnego handlera tokenów QUIC (NoQuicTokenHandler), który zawsze uznaje dowolny token za poprawny. Atakujący może wysłać pakiet Initial z dowolnym tokenem i sfałszowanym źródłowym adresem IP ofiary, co powoduje, że serwer traktuje ofiarę jako zweryfikowaną i wysyła do niej pełne odpowiedzi bez ograniczenia amplifikacji 3×.

W bibliotece Netty w komponencie netty-codec-haproxy przed wersjami 4.1.135.Final i 4.2.15.Final występuje podatność na wyciek pamięci. Podczas dekodowania TLV typu PP2_TYPE_SSL, gdy atakujący ustawi długość TLV poniżej 5 bajtów, dochodzi do wyjątku IndexOutOfBoundsException, który nie jest poprawnie obsługiwany, co prowadzi do nienaruszonego wycieku bufora.

W PbootCMS w wersjach do 3.2.12 odkryto lukę bezpieczeństwa w funkcji retrieve pliku apps/home/controller/MemberController.php komponentu Password Handler. Manipulacja argumentami username/password/email/checkcode prowadzi do osłabionej procedury odzyskiwania hasła.

MobaXterm Personal Edition (Portable) w wersji 26.3 (Build 5154) umożliwia wykonanie dowolnego kodu poprzez załadowanie złośliwej biblioteki DLL znajdującej się w tym samym katalogu co plik wykonywalny. Aplikacja automatycznie ładuje bibliotekę winspool.drv z tej lokalizacji podczas uruchamiania.

MobaXterm Personal Edition (Portable) w wersji 26.3 (Build 5154) umożliwia wykonanie dowolnego kodu poprzez ładowanie złośliwych DLL z przewidywalnego katalogu tymczasowego, który może być modyfikowany przez użytkownika. Aplikacja najpierw przeszukuje ten katalog przed sprawdzeniem bezpiecznych ścieżek systemowych.

Quest Bot to otwartoźródłowy bot Discord, który przed wersją 1.1.6 pozwalał moderatorom z odpowiednimi uprawnieniami na moderowanie użytkowników wyżej w hierarchii ról Discord, o ile bot miał wyższą rangę niż cel. To narusza normalne zabezpieczenia hierarchii ról Discord.

Quest Bot to otwartoźródłowy bot Discord. W wersjach przed 1.1.6, komenda automod add przycina dane wejściowe użytkownika, ale nie odrzuca pustego wyniku, co prowadzi do usunięcia wszystkich wiadomości niebota w gildii.

Quest Bot to otwartoźródłowy bot Discord. W wersjach przed 1.1.6 polecenia purge i slowmode sprawdzają jedynie uprawnienia na poziomie gildii, co pozwala użytkownikom bez uprawnień moderacyjnych na poziomie kanału na usuwanie wiadomości lub zmianę trybu wolnego.

Zidentyfikowano podatność typu Missing Required Cryptographic Step w oprogramowaniu układowym Moxa dla komputerów przemysłowych. W wyniku niekompletnej naprawy wcześniejszej podatności CVE-2026-0714, szyfrowanie parametrów TPM2 nie zapewnia skutecznej ochrony.

Brak ograniczeń dotyczących liczby nagłówków załączników w wiadomości podczas deserializacji przez Apache CXF może prowadzić do niekontrolowanego zużycia zasobów lub ataku typu denial of service.

W module integracji JCA w Apache CXF wykryto podatność na wstrzykiwanie JNDI, która może umożliwić wykonanie kodu, jeśli atakujący jest w stanie manipulować deskryptorem wdrożenia JCA (ra.xml) lub parametrami aktywacji w czasie wykonywania.

W Apache CXF wykryto niekompletną poprawkę dla poprzedniej podatności CVE-2026-44417, dotyczącej niezaufanej konfiguracji JMS prowadzącej do zdalnego wykonania kodu (RCE). Nowa luka umożliwia wykonanie kodu, jeśli niezaufani użytkownicy mogą konfigurować JMS dla Apache CXF.

W AbstractOAuthDataProvider występuje warunek wyścigu, który pozwala na równoczesne żądania z użyciem tego samego Refresh Token, co umożliwia generowanie wielu ważnych Access Tokenów, gdy 'recycleRefreshTokens' jest ustawione na false.