Katalog podatności CVE

Podatność w @astrojs/netlify przed wersją 7.0.13 pozwala na nieprawidłowe dopasowanie wzorców obrazów, co może prowadzić do nieautoryzowanego dostępu do zasobów. Wzorce z użyciem symbolu wieloznacznego mogą dopasować więcej ścieżek i hostów niż zamierzono.

Astro to framework webowy, który przed wersją 6.4.6 miał problem z aplikacjami SSR, które korzystały z prerenderowanych stron błędów. W przypadku wystąpienia błędu, strony te były pobierane przez HTTP, co umożliwiało atakującemu skierowanie żądania do dowolnego hosta.

W wersjach przed 6.4.6 frameworka Astro, funkcja spreadAttributes w pipeline'ie renderowania po stronie serwera nie zabezpieczała kluczy obiektów przed wstrzyknięciem, co umożliwiało atakującym dodawanie dowolnych atrybutów HTML, w tym handlerów zdarzeń.

NLTK przed wersją 3.10.0-rc1 zawiera podatność na path traversal w funkcji nltk.data.load() przy użyciu schematu URL nltk:. Zabezpieczenie regex sprawdza ścieżkę przed dekodowaniem sekwencji %xx, co pozwala atakującemu ominąć ochronę i odczytać dowolne pliki z systemu plików.

Framework Hono przed wersją 4.12.25 ma lukę w middleware Body Limit, który ufa nagłówkowi Content-Length żądania do określenia, czy ciało żądania mieści się w dozwolonym limicie. Na AWS Lambda, klient może zadeklarować mniejszy Content-Length, wysyłając jednocześnie większe ciało, co pozwala na obejście limitu.

WebP Server Go w wersji 0.14.4 zawiera podatność na przejście ścieżki w systemie Windows, która pozwala nieautoryzowanym atakującym na odczyt plików poza skonfigurowanym katalogiem IMG_PATH. Atakujący mogą wykorzystać kodowanie procentowe backslashy (%5C), aby obejść sanitizację w handler/router.go.

Identyfikator CVE-2026-53778 został odrzucony lub wycofany przez jego autorytet numeracji CVE.

React Router w wersjach od 7.12.0 do 7.15.1 miał niewystarczające kontrole CSRF w trybie Framework Mode, które działały na żądania POST, ale były omijane w przypadku żądań PUT/PATCH/DELETE. Ta podatność została naprawiona w wersji 7.15.1.

Astro to framework webowy, który przed wersją 6.3.3 miał lukę, w której komponenty używające dyrektywy client:* wstawiały zawartość slotu do atrybutu data-astro-template bez odpowiedniego zabezpieczenia, co umożliwiało atakującemu wstrzyknięcie dowolnego HTML i prowadziło do odzwierciedlonego XSS podczas SSR.

W logice przetwarzania opcji DHCP w wielu modelach routerów TP-Link wykryto podatność na wstrzykiwanie poleceń, spowodowaną niewystarczającą walidacją danych opcji DHCP pochodzących z zewnątrz. Sąsiadujący atakujący może wykorzystać tę podatność, dostarczając spreparowane odpowiedzi DHCP, co może prowadzić do nieautoryzowanego wykonania poleceń podczas inicjalizacji urządzenia lub procesów konfiguracji. Zazwyczaj ma to miejsce, gdy urządzenie jest w stanie fabrycznym lub nieskonfigurowanym.

Biblioteka Advanced Linux Sound Architecture (ALSA) przed wersją 1.2.16.1 zawiera podatność typu double-free w funkcji parse_def(), co pozwala atakującym na uszkodzenie pamięci poprzez dostarczenie złośliwie skonstruowanego tekstu konfiguracji ALSA. Problem występuje podczas analizy zagnieżdżonych bloków konfiguracji, gdzie nie sprawdzane są wartości zwracane, co prowadzi do wielokrotnego wywołania snd_config_delete() na tym samym już zwolnionym węźle.

Podatność w bibliotece http-proxy-middleware dla Node.js umożliwia atakującemu ominięcie konfiguracji routingu proxy poprzez spreparowanie nagłówka Host, który jest nadciągiem (superstring) dla skonfigurowanego klucza host+path. Problem występuje w wersjach od 0.16.0 do 2.0.10, 3.0.6 i 4.1.0, a został naprawiony w wersjach 2.0.10, 3.0.6 i 4.1.0.

W bibliotece piscina, przed wersjami 6.0.0-rc.2, 5.2.0 i 4.9.3, występowała podatność związana z odczytem opcji filename, co mogło prowadzić do wykonania złośliwego kodu w wątkach roboczych.

Hono to framework aplikacji webowej, który przed wersją 4.12.25 miał lukę w middleware CORS. Przy ustawieniu 'credentials: true' i braku wyraźnie określonego pochodzenia, middleware odzwierciedlało pochodzenie żądania, co pozwalało na wykonywanie uwierzytelnionych żądań międzydomenowych przez dowolne strony.

Hono to framework aplikacji webowych, który przed wersją 4.12.25 na AWS Lambda@Edge miał problem z wielokrotnymi nagłówkami żądań. Adapter zapisywał wartości nagłówków przy użyciu Headers.set, co powodowało nadpisywanie wcześniejszych wartości, a do aplikacji docierała tylko ostatnia z nich.

Hono to framework aplikacji webowych, który wspiera dowolne środowisko JavaScript. W wersjach przed 4.12.25, na AWS Lambda, odpowiedzi ALB z pojedynczym nagłówkiem oraz odpowiedzi VPC Lattice v2 łączą wiele nagłówków Set-Cookie w jedną wartość oddzieloną przecinkami, co prowadzi do problemów z ich prawidłowym przetwarzaniem przez klientów.

W frameworku Hono przed wersją 4.12.25 na systemach Windows odkryto podatność polegającą na dekodowaniu zakodowanego backslasha (%5C) w ścieżce żądania. Powoduje to, że serwer traktuje go jako separator ścieżki, co umożliwia atakującemu odczytanie plików statycznych chronionych przez middleware.

W wersjach przed 2.8.0 biblioteki opentelemetry-js, metoda W3CBaggagePropagator.extract() w @opentelemetry/core nie wprowadza ograniczeń rozmiaru podczas parsowania nagłówków HTTP. Specyfikacja W3C Baggage zaleca maksymalny rozmiar 8,192 bajtów i 180 wpisów, co nie było egzekwowane w przypadku nagłówków przychodzących.

Podatność w frameworku Starlette od wersji 0.4.1 do 1.3.1 powoduje, że limity max_fields i max_part_size dla request.form() są stosowane tylko dla multipart/form-data, ale ignorowane dla application/x-www-form-urlencoded. Nieuwierzytelniony atakujący może wysłać ciało żądania z dowolnie dużą liczbą pól lub dowolnie dużym polem, omijając skonfigurowane ograniczenia.

W Starlette przed wersją 1.3.0 ścieżka żądania HTTP nie jest walidowana przed użyciem do rekonstrukcji request.url. Ponieważ request.url jest odtwarzane przez konkatenację {scheme}://{host}{path} i ponowne parsowanie wyniku, ścieżka nie zaczynająca się od / (np. @google.com) przesuwa granicę autorytetu podczas ponownego parsowania, przez co request.url.hostname i request.url.netloc stają się kontrolowane przez atakującego.