Katalog podatności CVE

W Bixby przed wersją 4.0.85.6 występuje niewłaściwa walidacja danych wejściowych, która pozwala uprzywilejowanym lokalnym atakującym na uruchamianie dowolnych aktywności.

W bibliotece nibabel (do wersji 5.4.2) wykryto podatność w funkcji array_from_file w pliku nibabel/volumeutils.py, związanej z obsługą nagłówków. Manipulacja danymi prowadzi do niekontrolowanej alokacji pamięci. Atak można przeprowadzić zdalnie, a poprawka (pull request) oczekuje na akceptację.

Atakujący kontrolujący rejestr, mirror lub ścieżkę sieciową do niego może dostarczyć dowolną zawartość obrazu w odpowiedzi na pobranie po skrócie (digest), powodując uruchomienie przez użytkownika obrazu innego niż przypięty. Poprawka porównuje zwrócony skrót z przypiętym i przerywa pobieranie w przypadku niezgodności; pobierania po tagu są wyłączone, ponieważ tag jest z założenia mutowalny. Poprawka weryfikuje również hash manifestów i blobów podczas pobierania. Podatność została naprawiona w wersji container 1.6.0 i containerization 0.52.1.

W bibliotece meshio (do wersji 5.3.5) zidentyfikowano słabość w nieznanej funkcji pliku meshio/_vtk_42.py w komponencie VTK Reader. Manipulacja argumentem DIMENSIONS może prowadzić do niekontrolowanej alokacji pamięci. Atak można wykonać zdalnie, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

W bibliotece feedfinder2 (do wersji 0.0.4) odkryto lukę w funkcji find_feeds w pliku feedfinder2.py. Manipulacja danymi prowadzi do podatności typu server-side request forgery (SSRF). Zdalne wykorzystanie ataku jest możliwe, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

W projekcie inventariobasico (wersje c9377cdba474deb3eb5a0704d197b5733af16b47/f9db0c0a04d79ad931c218140df4fb23809d4fab) wykryto lukę w nieznanym kodzie pliku addlist.php w komponencie Add Product Page. Manipulacja argumentem nazwy produktu prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystywany; projekt działa w modelu rolling release i nie odpowiedział na zgłoszenie.

Zdalny atakujący może spowodować zakończenie procesu, który przekazuje kontrolowane przez atakującego dane wejściowe do API P-384 VOPRF bez ograniczenia ich długości. Podatność została naprawiona w wersji swift-crypto 5.0.3.

W MailWatch for MailScanner przed wersją 1.2.27 każdy uwierzytelniony użytkownik, w tym role U, D i H, może zwolnić do skrzynki odbiorczej lub trwale usunąć kwarantannowaną pocztę innego użytkownika lub domeny, podając dowolny identyfikator wiadomości do mailscanner/quarantine_action.php. Akcja nie sprawdza właściciela wiadomości ani nie stosuje filtra global_filter, a identyfikatory wiadomości są wyliczalne.

W systemie Open Object (wersje od 2.4.3 do 2.5.1, 3.6.2, 4.0.2 i 4.1.1) token z uprawnieniem do odczytu jednego ObjectType może odczytać pełny wersjonowany rekord obiektu innego ObjectType poprzez endpoint history-detail GET /api/v2/objects/{uuid}/{index}. Akcja history_detail wywołuje get_queryset() i get_object_or_404 bezpośrednio, pomijając sprawdzanie uprawnień obiektowych. Luka została naprawiona w wersjach 2.5.1, 3.6.2, 4.0.2 i 4.1.1.

W systemie Domoticz przed wersją 2026.3 handler komendy JSON udevices (Cmd_UpdateDevices w main/WebServerCmds.cpp) nie sprawdzał uprawnień session.rights przed uruchomieniem skryptu parsera Lua. Użytkownik z niskimi uprawnieniami mógł wywołać istniejący skrypt parsera z kontrolowanym wejściem przez GET /json.htm, a parametr script nie miał zabezpieczenia przed path traversal. Wykonanie ogranicza się do już zainstalowanych prawidłowych plików Lua, a luka została naprawiona w wersji 2026.3.

W aplikacji InvoicePlane przed wersją 1.7.2-beta-1 użytkownicy gościnni mogą zatwierdzać lub odrzucać oferty należące do dowolnego klienta, nie tylko przypisanych im klientów. Metody approve() i reject() w kontrolerze Guest Quotes wywołują approve_quote_by_id() i reject_quote_by_id() bez ograniczenia where_in('ip_quotes.client_id', $this->user_clients), a generate_pdf() wywołuje mark_viewed() przed sprawdzeniem zakresu klienta. Luki naprawiono w wersji 1.7.2-beta-1 i stabilnej 1.7.2.

W D-Link DIR-505 1.10B02 w funkcji main pliku /secmark1524.cgi komponentu Web Management CGI manipulacja argumentami accu/pass/code/hash/cmds prowadzi do backdoora. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W aplikacji MusicFreeDesktop w wersjach 0.0.6, 0.0.7 i 0.0.8 odkryto lukę w nieznanej funkcji komponentu Request Forwarder. Manipulacja prowadzi do ujawnienia informacji, a atak można przeprowadzić wyłącznie z sieci lokalnej. Exploit został publicznie ujawniony i może być wykorzystywany, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

W aplikacji MusicFreeDesktop w wersjach 0.0.6, 0.0.7 i 0.0.8 zidentyfikowano lukę w nieznanej funkcji komponentu Request Forwarder. Manipulacja prowadzi do podatności typu server-side request forgery (SSRF), a zdalne wykorzystanie jest możliwe. Exploit jest publicznie dostępny i może być wykorzystywany; poprawka ma identyfikator b0d3876247a0a64fa0e430e4b21870e41f503182.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację numerującą CVE. Brak dalszych informacji o podatności.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację CVE Numbering Authority. Brak dostępnych szczegółów technicznych dotyczących podatności.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację CVE Numbering Authority. Brak dostępnych szczegółów technicznych dotyczących podatności.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 i 11.7.x <= 11.7.10 nie weryfikuje docelowego identyfikatora posta w komponencie przypomnień o wzmiankach wtyczki Agents. Uwierzytelniony użytkownik mogący publikować w kanale widocznym dla administratora systemu może spowodować, że przeglądarka administratora wyśle niezamierzone żądanie API, co prowadzi do zamiany zainstalowanej wtyczki i wykonania kodu na serwerze. Wymaga to kliknięcia przez administratora spreparowanego przypomnienia o wzmiance.

W AVideo przed wersją 8.1.0 plik view/queue.php używa pathinfo na kontrolowanym przez wywołującego parametrze fileURI i zapisuje nazwę pliku przez setTitle w encoder_queue.title bez neutralizacji. fileURI nie jest objęty filtrami objects/security.php, a uprawnienie Login::canUpload() można nadać sobie samodzielnie, co pozwala atakującemu zapisać tytuł HTML, którego obsługa zdarzeń wykona się w przeglądarce uprzywilejowanego widza (administratora lub operatora tego samego streamera).

W AVideo przed wersją 8.1.0 anonimowy interfejs logowania odzwierciedla wartości żądania w HTML i JavaScript bez kodowania wyjścia. Parametr webSiteRootURL jest zwracany bez zmian przez Streamer::getStreamerURL() i trafia do atrybutów nawigacji i formularzy oraz do ciągu JavaScript w view/index.header.php, a pola user i pass są filtrowane tylko pod kątem apostrofów, co pozwala na wyjście z atrybutów HTML. Dodatkowo view/index.header.php odzwierciedla pola POST przez json_encode bez JSON_HEX_TAG, a locale/function.php zapisuje w sesji wartość lang bez escapowania.