Katalog podatności CVE

W PostyBirb Plus do wersji 3.1.75 wykryto lukę w zabezpieczeniach w nieznanej funkcjonalności pliku ui/src/views/submissions/submission-forms/form-components/DescriptionInput.tsx komponentu Submission Description Editor. Manipulacja prowadzi do cross site scripting, a atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany.

W urządzeniu D-Link DIR-505 w wersji 1.10B02 wykryto podatność w funkcji save_upload_file/mp_upload_file w pliku /usr/bin/tftpd, obsługującej nazwy plików przesyłanych przez TFTP. Manipulacja danymi wejściowymi prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystywany.

XS::libbrotli w wersjach przed 1.2.1.0 dla Perla dołącza bibliotekę brotli z błędem zapisu poza granice bufora w dekoderze. Dołączona kopia (1.0.7 lub 1.1.0) zawiera podatność opisaną w CVE-2026-111497, a dekoder jest osiągalny przez moduły zależne dekompresujące niezaufane dane.

W YznCMS do wersji 2.2.0 wykryto lukę w zabezpieczeniach w funkcji Backend pliku app/admin/controller/auth/Group.php (komponent Auth Group Handler). Manipulacja danymi prowadzi do niewłaściwego zarządzania uprawnieniami. Atak można zainicjować zdalnie, a aktualizacja do wersji 2.2.1 usuwa problem.

W bibliotekach Java Apache Thrift występuje podatność niekontrolowanej rekurencji. Problem dotyczy wersji Apache Thrift wcześniejszych niż 0.24.0. Został naprawiony w wersji 0.24.0.

Klasa JavaNativeMessageDecoder w module codec Apache MINA 3.0 wywołuje ObjectInputStream.readObject() na bajtach ramki bez filtra klas. Aplikacja używająca tego dekodera w komunikacji z niezaufanym peerem jest narażona na zdalne wykonanie kodu poprzez łańcuchy gadgetów. Gałąź 3.0.0 jest nieaktywna i nie zostanie dla niej wydana poprawka.

Podatność CVE-2026-118147 dotyczy nieprawidłowej walidacji certyfikatów w Visual Studio. Nieuwierzytelniony atakujący może wykorzystać tę lukę do przeprowadzenia ataku typu spoofing w sieci.

FFmpeg w wersjach od 5.0 do 9.0.2 zawiera podatność path traversal w demukserze IMF, która pozwala atakującym otwierać pliki poza pakietem poprzez niezwalidowane elementy Path w ASSETMAP. Atakujący może dostarczyć spreparowany pakiet IMF ze ścieżkami '..' lub bezwzględnymi, aby demuksować lokalne pliki MXF, sprawdzać istnienie i rozmiar plików lub wywoływać żądania po stronie serwera.

AJ-Report do wersji 1.7.1 podpisuje tokeny udostępniania przy użyciu zaszytego na stałe sekretu JWT, co pozwala atakującym na offline sfałszowanie ważnych Share-Tokenów. Atakujący może wygenerować token z reportCode 'dataSet', aby uzyskać dostęp do endpointu testTransform, który przekazuje skrypty do GroovyClassLoader i umożliwia nieuwierzytelnione zdalne wykonanie kodu.

libheif w wersji 1.18.0 przed 1.23.3 zawiera podatność przepełnienia bufora opartego na stercie w funkcji unc_decoder_mixed_interleave::processTile(), która pozwala atakującym na zapis poza granicami bufora poprzez dostarczenie komponentów chrominancji o nierównych głębiach bitowych. Atakujący może spreparować plik HEIF deklarujący np. 16-bitowy Cb i 8-bitowy Cr, aby wywołać kontrolowane przez plik zapisy sterty poza płaszczyzną Cr, potencjalnie osiągając wykonanie kodu w potokach przetwarzania obrazów.

Moduł Thelia Page przed wersją 2.0.4 zawiera podatność cross-site request forgery, która pozwala zdalnym atakującym usuwać tagi stron, dokumenty i obrazy poprzez wykorzystanie tras usuwania w panelu administracyjnym pozbawionych tokenów CSRF i kontroli uprawnień. Atakujący może nakłonić zalogowanego administratora do przejścia na spreparowane żądania GET, które iterują kolejne identyfikatory, usuwając obrazy TheliaLibrary, ich pliki i warianty w obrębie stron, produktów i kategorii.

Thelia przed wersją 3.2.0 zawiera podatność cross-site request forgery w panelu administracyjnym, która pozwala atakującym sfałszować działania administracyjne, ponieważ tokeny CSRF na sesję wyciekają przez ciągi zapytań URL. Atakujący może ponownie użyć ujawnionych tokenów lub wykorzystać niechronione akcje setToggleVisibilityAction i updatePositionAction, aby zalogowani administratorzy usuwali, ukrywali lub zmieniali kolejność obiektów katalogu i konfiguracji.

Thelia przed wersją 3.1.0 zawiera podatność przechowywanego cross-site scripting w funkcji ForSomeCustomers::getSummary(), która pozwala nieuwierzytelnionym atakującym wstrzykiwać skrypty poprzez nieescapowane nazwy klientów. Atakujący może zarejestrować się z ładunkiem skryptu jako nazwą, który wykonuje się, gdy administratorzy przeglądają powiązane kupony, kradnąc tokeny CSRF w celu utworzenia kont administratorów.

DeepInfer do wersji 0.1.0 zawiera podatność path traversal w nieuwierzytelnionym endpoincie /profile, która pozwala zdalnym atakującym tworzyć dowolne katalogi poprzez parametr output_dir. Atakujący, w tym poprzez żądania GET z przeglądarki operatora, mogą zapisywać pliki śledzenia chrome, wyczerpując dysk lub i-węzły, oraz wykorzystywać komunikaty błędów jako wyrocznię systemu plików.

ShowDoc w wersji 2.8.14 przed 3.9.6 zawiera podatność wstrzyknięcia kodu w funkcji Mock, która pozwala uwierzytelnionym użytkownikom wykonywać polecenia powłoki poprzez szablony mockjs. Atakujący może zapisać szablon przez MockController::add z escapowanymi nawiasami, który mockjs ewaluuje za pomocą eval(), a następnie wywołać go przez MockController::infoByKey, aby uruchomić polecenia, w oficjalnym obrazie Docker jako root.

Highflame ramparts w wersjach od 0.8.1 do 0.8.10 zawiera podatność obejścia skanowania bezpieczeństwa, która pozwala atakującym ukryć złośliwe ładunki, ponieważ collect_bundle_siblings i walk_bundle_subdir pomijają zagnieżdżone katalogi i pliki .pyc. Atakujący może rozpowszechnić pakiet umiejętności z niezweryfikowanym hashem .pyc w scripts/<subdir>/__pycache__/, który ramparts po cichu ignoruje, podczas gdy CPython wykonuje go przy uruchomieniu umiejętności.

Jpom w wersjach od 2.10.0 do 2.11.12 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać uprawnienia superadministratora poprzez wstrzyknięcie warunku zapytania do nagłówka JPOM-USER-TOKEN. Atakujący może wysłać wartość taką jak 'is not null', którą parser Condition biblioteki Hutool interpretuje jako operator, a następnie wykonać polecenia za pomocą funkcji skryptowych Jpom.

Nexterm w wersji do 1.2.2-BETA zawiera podatność polegającą na braku autoryzacji, która pozwala uwierzytelnionym użytkownikom na hibernację, wznowienie lub zakończenie zdalnych sesji innych użytkowników poprzez trasy cyklu życia sesji. Atakujący, który uzyska identyfikator sesji, może wywołać punkty końcowe hibernate, resume lub DELETE connection, aby zakłócić aktywne sesje SSH, RDP, VNC lub SFTP.

LearnHouse w wersji przed 1.1.1 zawiera podatność polegającą na braku autoryzacji w API zadań, która pozwala uwierzytelnionym użytkownikom na odczyt ocen i prac innych użytkowników. Atakujący mogą podać inny identyfikator user_id w punkcie końcowym oceniania lub odpytywać funkcje odczytu zgłoszeń, aby przeglądać prace, oceny i opinie instruktorów innych studentów.

Przepełnienie bufora na stercie w firmware Opengear IM72XX, CM71XX i ACM70XX w wersjach 4.8.0–5.5.2 na urządzeniach console server. Nieuwierzytelniony zdalny atakujący może spowodować awarię procesu index.cgi poprzez spreparowane żądanie POST multipart/form-data z nadmiernie długim polem name w nagłówku Content-Disposition.