Katalog podatności CVE

W produkcie Turkhotspot 5651 Loglama firmy Turkmesh Communication Services Inc. wykryto podatność na wstrzykiwanie SQL (SQL injection) spowodowaną nieprawidłową neutralizacją specjalnych elementów w zapytaniach SQL. Luka występuje w wersjach od 5.1.2 do 5.1.3.

Podatność na deserializację niezaufanych danych w Apache Fory umożliwia ominięcie kontroli rejestracji klas podczas deserializacji lambd Javy. Problem dotyczy wyłącznie klasy przechwytującej lambdę.

W bibliotece Apache Fory (dawniej Apache Fury) wykryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci przez sun.misc.Unsafe. Problem występuje podczas deserializacji zero-copy poza pasmem, gdy funkcja readAlignedVarUint() może odczytać dane poza granicami bufora. Funkcjonalność ta jest opcjonalna, więc aplikacje jej nieużywające nie są zagrożone.

W implementacji C++ biblioteki Apache Fory wykryto podatność polegającą na pomyleniu typów sterty oraz odczycie/zapisie poza dozwolonym zakresem. Podczas deserializacji danych w trybie zgodności, ścieżki pomijające pola nieprawidłowo walidują zadeklarowane typy pól względem rzeczywistych danych, co przy niespójnym schemacie wejściowym może prowadzić do pomylenia typów i dostępu do pamięci poza granicami.

Rozszerzenie Joomla Membership Pro (joomdonation.com) w wersjach przed 4.6.2 domyślnie zezwalało nieuwierzytelnionym użytkownikom na przesyłanie plików multimedialnych. Jest to niebezpieczna domyślna konfiguracja.

Wtyczka Easy Form Builder by WhiteStudio dla WordPressa do wersji 4.0.11 włącznie zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu eskalację uprawnień do administratora. Podatność wynika z użycia publicznie widocznego identyfikatora sesji ('sid') jako tokena resetowania hasła oraz publicznie dostępnego punktu końcowego odświeżania nonce, co pozwala na zresetowanie hasła dowolnego użytkownika WordPressa.

Podatność use-after-free w komponencie Network w Google Chrome przed wersją 150.0.7871.128. Zdalny atakujący może wykorzystać spreparowaną stronę HTML do potencjalnego uszkodzenia sterty (krytyczny poziom ważności).

Użycie po zwolnieniu (use-after-free) w GPU w przeglądarce Google Chrome na Androidzie przed wersją 150.0.7871.128 umożliwia zdalnemu atakującemu potencjalną ucieczkę z piaskownicy poprzez spreparowaną stronę HTML.

Użycie po zwolnieniu w CameraCapture w Google Chrome na Macu przed wersją 150.0.7871.128 umożliwiło zdalnemu atakującemu potencjalną ucieczkę z piaskownicy za pomocą spreparowanej strony HTML.

AVideo przed wersją 29.0 zawiera niekompletną poprawkę dla CVE-2026-45578. Funkcja execAsync() ponownie opakowuje uciekające komendy w podwójnie cudzysłowowe sh -c, co umożliwia podstawianie komend przez $() i backticks. Atakujący mogą wstrzykiwać dowolne komendy OS przez endpoint on_publish.php wtyczki Live, pomimo ochrony escapeshellarg().

W produktach SJCAM AllWinner Tech (SJ4000-Air V1.4C i starsze oraz wersje WhiteLabel) wykryto podatność umożliwiającą wykonanie dowolnego kodu poprzez spreparowany plik FEX.

W oprogramowaniu sprzętowym Tenda TX9 w wersji V22.03.02.20 wykryto podatność na przepełnienie stosu w funkcji sub_425964 pliku /goform/SetOnlineDevName. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu.

W oprogramowaniu sprzętowym Tenda TX9 w wersji V22.03.02.20 wykryto podatność na przepełnienie stosu w funkcji sub_424CE0 pliku /goform/setMacFilterCfg. Atakujący może wykorzystać tę lukę do zdalnego wykonania kodu lub spowodowania awarii urządzenia.

W oprogramowaniu sprzętowym Tenda TX9 w wersji V22.03.02.20 wykryto podatność na przepełnienie stosu w funkcji sub_42EEE0 w pliku /goform/SetStaticRouteCfg. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu lub spowodowania awarii urządzenia.

W FreeScout przed wersją 1.8.224 publiczny endpoint `POST /user-setup/{hash}/{invite_sent_at}` pozwala atakującemu na przejęcie konta użytkownika bez uwierzytelnienia. Podatność wynika z pomijania spacji w VARCHAR w MySQL/MariaDB oraz z nieprawidłowego deszyfrowania parametru `invite_sent_at`.

W oprogramowaniu sprzętowym Tenda TX9 w wersji V22.03.02.20 wykryto podatność na przepełnienie stosu w funkcji sub_42EA38 pliku /goform/SetVirtualServerCfg. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu lub spowodowania odmowy usługi.

W oprogramowaniu sprzętowym Tenda TX9 w wersji V22.03.02.05 wykryto podatność na przepełnienie stosu w funkcji sub_4418CC pliku /goform/SetNetControlList. Atakujący może wykorzystać tę lukę do zdalnego wykonania kodu lub spowodowania awarii urządzenia.

ktransformers do wersji 0.6.3 włącznie (poprawione w commicie def0f93) zawiera nieuwierzytelnioną podatność na deserializację pickle, która umożliwia zdalnym atakującym wykonanie dowolnych poleceń poprzez wysłanie spreparowanych ładunków pickle do gniazda ZMQ ROUTER SchedulerServer, które jest związane ze wszystkimi interfejsami sieciowymi. Atakujący mogą wykorzystać złośliwe metody __reduce__ osadzone w spreparowanych ładunkach pickle do wykonania dowolnych poleceń powłoki jako proces serwera.

GPT-SoVITS do wersji 20250606v2pro zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku webui.py, gdzie funkcje ASR, slice, denoise i uvr5 interpolują niesanityzowane wartości pól tekstowych Gradio bezpośrednio do poleceń powłoki wykonywanych z shell=True. Atakujący mogą wstrzyknąć metaznaki powłoki przez parametry ścieżki, aby wykonać dowolne polecenia systemowe jako użytkownik procesu serwera bez uwierzytelniania.

Podatność w RT (Request Tracker) przed wersjami 5.0.10 i 6.0.3 w REST 2.0 API pozwala uprzywilejowanemu (nieadministracyjnemu) użytkownikowi na uzyskanie poświadczeń innych użytkowników, w tym administratorów, oraz ich użycie do odczytu danych przez feedy. Żądanie obraca poświadczenia, unieważniając istniejące feed URL.