Katalog podatności CVE

W bibliotece m17n-lib wykryto usterkę polegającą na odczycie niezainicjalizowanej pamięci ze stosu podczas przetwarzania tekstu zakodowanego w ISO-2022. Osoba atakująca może dostarczyć specjalnie spreparowane dane wejściowe, co może prowadzić do nieoczekiwanego zachowania i ograniczonego ujawnienia informacji.

GitLab EE w wersjach od 13.6 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 ma podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami na modyfikację ustawień rollbacku CI/CD bez autoryzacji, z powodu niewystarczających kontroli dostępu.

GitLab CE/EE w wersjach od 18.9 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 ma podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi z tokenem Personal Access Token o ograniczonym zakresie importu na importowanie projektów do grup poza zamierzonym zakresem, z powodu nieprawidłowej autoryzacji docelowej przestrzeni nazw.

GitLab CE/EE w wersjach od 17.6 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 ma podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami maintainera na usunięcie niektórych metadanych rejestru pakietów, które reguły ochrony pakietów ograniczają do wyższych ról, z powodu nieprawidłowych kontroli autoryzacji.

GitLab CE/EE zawiera podatność typu server-side request forgery (SSRF) wynikającą z wyścigu typu time-of-check to time-of-use w walidacji adresów URL podczas importu repozytoriów. Uwierzytelniony użytkownik może w określonych warunkach uzyskać dostęp do wewnętrznych zasobów sieciowych.

SAP Cloud Connector zawiera nieprawidłową kontrolę autoryzacji, którą nisko uprzywilejowany atakujący może wykorzystać poprzez specjalnie spreparowane żądania. Wykorzystanie wymaga, aby atakujący znajdował się w sieci sąsiedniej i może pozwolić na uzyskanie ograniczonych informacji o systemach wewnętrznych.

W philz1337x clarity-upscaler wykryto lukę w funkcji create_html_for_item w pliku modules/ui_extra_networks.py (komponent Extra Networks Card Rendering). Manipulacja argumentem Description prowadzi do cross-site scripting (XSS), a atak można przeprowadzić zdalnie.

Frappe Framework w wersjach 15.x przed 15.107.3 oraz 16.x przed 16.17.0 korzysta z podatnej biblioteki pdfkit (CVE-2025-26240) do generowania PDF, co umożliwia SSRF oraz lokalne włączenie plików. Uwierzytelniony atakujący może dostarczyć spreparowaną treść do renderowania PDF, aby zmusić serwer do pobrania zasobów wewnętrznych lub osadzenia lokalnych plików w wygenerowanym PDF.

W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność XSS w nieznanej części pliku /goform/formQoS (strona QoS). Manipulacja danymi prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

W urządzeniu Edimax BR-6208AC w wersji 1.32 zidentyfikowano słabość w nieznanej funkcji pliku /goform/formPortFw (strona przekierowania portów). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.

W urządzeniu Edimax BR-6208AC w wersji 1.32 odkryto podatność w nieznanej funkcji pliku /goform/formUrlb (strona blokowania HTTP). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanej funkcji pliku /goform/formFilter. Manipulacja prowadzi do podatności na cross site scripting. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

LearnHouse przed wersją 1.4.0 zawiera podatność braku autoryzacji w POST /api/v1/playgrounds/{uuid}/duplicate, która pomija sprawdzenia dostępu do odczytu i wersji roboczej egzekwowane przez get_playground. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia playgroundów, tacy jak instruktorzy, którzy znają UUID RESTRICTED lub nieopublikowanego playgrounda, mogą skopiować jego html_content i opublikować go publicznie.

W urządzeniu Netcore NR268 w wersji 1.7.121109 wykryto podatność w funkcji ddns_wan_list_show pliku ddns_wan_list_show.cgi komponentu DDNS Handler. Manipulacja argumentami user_idN/passwordN prowadzi do ujawnienia informacji. Atak może być inicjowany zdalnie, a exploit został publicznie ujawniony.

IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 może pozwolić lokalnemu atakującemu na spowodowanie odmowy usługi z powodu nieprawidłowej walidacji danych wejściowych.

Podatność typu wyścig (Race Condition) w wtyczce Events Manager firmy Pixelite pozwala na wykorzystanie warunków wyścigu. Problem dotyczy wersji Events Manager od n/a do 7.4.7.

W Zebra przed wersją 6.4.0 wykryto podatność polegającą na nieprawidłowej walidacji integralności w ścieżce pobierania przychodzących danych gossip. Pozwala ona nieuwierzytelnionym peerom na wymuszenie odrzucania nowych bloków bez kary. Atakujący mogą dostarczyć prawdziwy blok z przepisanym scriptSig coinbase na wysokość 1, co zachowuje hash bloku ZIP-244, powodując odrzucenie bloku przed walidacją konsensusu i opóźniając odkrycie tipu dla backendów wydobywczych.

W Zebra przed wersją 6.4.0 wykryto podatność polegającą na niekontrolowanym zużyciu zasobów, która pozwala nieuwierzytelnionym peerom na wymuszenie pełnej weryfikacji dowodów poprzez dostarczanie sfałszowanych ciał bloków z prawidłowymi hashami nagłówków. Atakujący mogą zmieniać bajty autoryzujące, takie jak scriptSig coinbase, marnując weryfikację dowodów Sapling, Orchard i Ironwood bez kary, co powoduje zatrzymanie synchronizacji na 67 sekund.

W Network-AI (npm network-ai) przed wersją 5.15.2 wykryto błąd walidacji pochodzenia w McpSseServer._handleRequest w lib/mcp-transport-sse.ts, który odzwierciedla localhost Origins w nagłówku Access-Control-Allow-Origin niezależnie od interfejsu wiązania. Gdy serwer wiąże adres niepętlowy, strona atakującego z Origin localhost odwiedzona przez ofiarę może odczytać nieuwierzytelnione endpointy, takie jak /health, w trybie cross-origin.

Podatność w Parse Server umożliwia nieuwierzytelnionym atakującym, posiadającym publiczne Application Id i klucz klienta, odtworzenie zapytania introspection z pamięci podręcznej Apollo Server, aby uzyskać schemat GraphQL, w tym prywatne nazwy klas i pól. Kontrola introspection jest stosowana tylko do bezpośrednio przesyłanych zapytań, nie do tych z pamięci podręcznej.