Katalog podatności CVE

W projekcie a2ui-project a2ui do wersji 0.10.6 funkcja DataContext.dispatchExpressionError w pliku renderers/web_core/src/v0_9/rendering/data-context.ts (komponent Error Handler) ujawnia informacje poprzez komunikaty błędów. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny; poprawka ma nazwę 8f149a1c7b0ce1fa8e93ac3adfa5fda960faeb01.

W projekcie a2ui-project a2ui do wersji 0.10.6 funkcja w pliku renderers/web_core/src/v0_9/rendering/data-context.ts (komponent data-context Resolver) pozwala na zużycie zasobów. Atak można przeprowadzić zdalnie, a publiczny exploit został ujawniony; poprawka ma nazwę eb314e14fabd29cfb4a74e1202afc4fe2081efa2.

Wtyczka Jupiter X Core dla WordPressa (do wersji 4.61.0) zawiera obejście uwierzytelniania w obsłudze logowania przez Twitter/X. Funkcja verify_twitter_callback nie przypisuje zwróconego tokenu do klienta TwitterOAuth, przez co kolejne wywołanie API weryfikuje poświadczenia właściciela aplikacji X zamiast logującego się użytkownika, a wtyczka uwierzytelnia konto WordPress na podstawie adresu e-mail tego właściciela.

Podatność w jackson-databind polega na tym, że walidacja typu ID sprawdza tylko klasę zewnętrzną, a nie klasy przekazane jako argumenty generyczne. Pozwala to na deserializację niebezpiecznych klas (np. HashMap<FileSystemXmlApplicationContext,String>) mimo włączonego walidatora, co może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji 2.10.0+ oraz 3.0.0+ i jest niekompletną poprawką dla CVE-2026-54512.

Podatność typu integer overflow w metodzie ProtobufParser._readStringKey() biblioteki Jackson (protobuf parser). Złośliwie spreparowana wiadomość protobuf z kluczem mapy o długości 0x7FFFFFFF powoduje przepełnienie arytmetyki przy sprawdzaniu granic bufora, co prowadzi do próby alokacji ogromnego bufora i błędu OutOfMemoryError. Ograniczenia StreamReadConstraints (maxStringLength, maxNameLength, maxDocumentLength, maxNestingDepth) nie zapobiegają awarii.

W produkcie jeremyckahn Chitchatter do wersji f82538633813c854a81a8b2112a2f6ba17b39cbc wykryto podatność w funkcji isConfigMessageEvent w pliku src/Bootstrap.tsx komponentu PostMessage Handler. Manipulacja argumentem parentDomain prowadzi do niewłaściwego uwierzytelniania, a exploit został publicznie ujawniony i może być wykorzystany. Poprawka nosi nazwę e3babb5cd83bfe3b99f1d82358ac5c1ea8e8a688.

Asynchroniczny parser Smile (NonBlockingByteArrayParser) używa prefiksu długości z niezaufanych danych wejściowych do alokacji tablicy byte[] przed odczytem treści, bez górnego limitu i bez sprawdzenia przepełnienia. Na znaczniku raw-binary 0xFD funkcja _decodeVInt() oblicza wartość bez zabezpieczenia przed przepełnieniem obecnego w parserze blokującym, a _startRawBinary natychmiast alokuje zadeklarowaną długość. Dane wejściowe o rozmiarze około dziesięciu bajtów mogą wymusić alokację około 2 GB i wywołać OutOfMemoryError lub NegativeArraySizeException.

ProtobufParser przetwarza pola typu string i bytes z prefiksem długości, sprawdzając warunek (_inputPtr + len) <= _inputEnd, a następnie wywołując _finishShortText(len), przy czym oba działania używają 32-bitowej arytmetyki ze znakiem. Gdy atakujący dostarczy varint dekodujący się do długości bliskiej Integer.MAX_VALUE, suma _inputPtr + len przepełnia się do wartości ujemnej, sprawdzenie granic przechodzi, a TextBuffer.expandCurrentSegment(len) wykonuje Arrays.copyOf bez limitu i zgłasza OutOfMemoryError. Parametry maxStringLength i maxDocumentLength nie blokują tej ścieżki.

W Nuxt Ollama przed wersją 1.3.1 plik `src/module.ts` bezwarunkowo scala wszystkie opcje modułu, w tym skonfigurowany klucz API chmury, do `runtimeConfig.public.ollama`. Nuxt serializuje tę publiczną konfigurację do ładunku `window.__NUXT__` w HTML renderowanym po stronie serwera, ujawniając klucz API w postaci jawnej każdemu nieuwierzytelnionemu klientowi. Plik `src/runtime/composables/useOllama.ts` również odczytuje publiczny klucz i wysyła go jako poświadczenie `Bearer` w żądaniach Ollama po stronie przeglądarki.

W Thor Vector Graphics (ThorVG) przed wersją 1.0.7 funkcja SfntLoader::gen w tvgSfntLoader.cpp odczytuje dane bez sprawdzenia, czy bufor ma co najmniej 4 bajty, co prowadzi do odczytu poza granicami. Ładowanie zbyt małej czcionki przez API pamięciowe może spowodować awarię aplikacji lub ujawnienie sąsiedniej pamięci sterty.

W aplikacji GRR przed wersją 4.5.0 funkcja przywracania bazy danych nie wymusza ani nie waliduje ścieżek plików. Użytkownik z uprawnieniami administratora może manipulować danymi wejściowymi, aby odczytać lub usunąć dowolne pliki na serwerze, powodując ujawnienie poufnych informacji i odmowę usługi poprzez usunięcie plików.

W aplikacji GRR przed wersją 4.5.0 administrator może wstrzyknąć złośliwy kod PHP poprzez parametry konfiguracji łącznika LDAP, takie jak `ldap_filter`, zatruwając plik `/personnalisation/config_ldap.inc.php` i umożliwiając zdalne wykonanie kodu. Wymagane jest wcześniejsze pomyślne połączenie z serwerem LDAP, który może być kontrolowany przez atakującego, a następnie przesłanie złośliwych danych na stronie ustawień łącznika.

W Cronicle przed wersją 0.9.121 użytkownik niebędący administratorem lub klucz API z uprawnieniami `create_events` i `run_events` może wstrzyknąć pola `uid` i `gid` najwyższego poziomu poprzez `/api/app/create_event` lub `/api/app/update_event`. W `lib/api.js` funkcja `requireValidEventData` używa `validateOptionalParams` jako częściowej listy dozwolonych, która po cichu przepuszcza nieznane klucze, przechowując wstrzyknięte pola dosłownie. W `lib/job.js` funkcja `launchJob` kopiuje całe zdarzenie do zadania, a wtyczka `uid` nadpisuje `uid` zdarzenia tylko wtedy, gdy wtyczka je definiuje. Domyślne wtyczki `shellplug` i `urlplug` nie definiują `uid`, więc tożsamość kontrolowana przez zdarzenie przetrwa do uruchomienia procesu potomnego.

W aplikacji GRR przed wersją 4.5.0 plik `maj.php` odzwierciedla parametr `forcemaj` bez odpowiedniego escapowania, gdy pliki instalacyjne pozostają dostępne. Usunięcie tych plików nie jest automatyczne. Atakujący może stworzyć URL, który wykonuje dowolny JavaScript w przeglądarce ofiary po jej wejściu na niego.

Protokół weryfikacji intencji WebSub wymaga od subskrybenta odesłania wartości hub.challenge, ale nie wymusza bezpiecznego typu mediów odpowiedzi ani wyłączenia sniffingu MIME. Atakujący może przekierować przeglądarkę ofiary na spreparowane żądanie weryfikacyjne zawierające HTML lub JavaScript, co może prowadzić do wykonania kodu w kontekście subskrybenta.

Klucze prywatne ośmiu certyfikatów pośrednich CA eMudhra zostały skompromitowane, a certyfikaty unieważniono 18 października 2026. CVE-2026-22063 służy do śledzenia zmian w produktach NetApp, a nie do opisu luki w oprogramowaniu.

CVE zostało odrzucone lub wycofane przez organizację CVE Numbering Authority. Brak dostępnych szczegółów technicznych dotyczących podatności.

W silniku V8 przeglądarki Google Chrome przed wersją 156.0.8078.73 występuje użycie po zwolnieniu pamięci, które pozwala zdalnemu atakującemu wykonać dowolny kod wewnątrz piaskownicy za pomocą spreparowanej strony HTML.

Użycie zwolnionej pamięci (use after free) w komponencie WebAudio w Google Chrome przed wersją 156.0.8078.73. Zdalny atakujący może wykonać dowolny kod wewnątrz piaskownicy za pomocą spreparowanej strony HTML.

W komponencie FileSystem przeglądarki Google Chrome przed wersją 156.0.8078.73 występuje użycie po zwolnieniu pamięci, które pozwala zdalnemu atakującemu wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.