Katalog podatności CVE

Oprogramowanie Fanvil x7a w wersji 2.6.0.1182 nie stosuje żadnych zabezpieczeń przed żądaniami cross-origin dla operacji zmieniających stan aplikacji. Brak tej ochrony pozwala całkowicie obejść granicę cross-origin i przeprowadzić ataki typu Cross-Site Request Forgery na dowolny endpoint.

Oprogramowanie Fanvil x7a w wersji 2.6.0.1182 nie stosuje żadnych zabezpieczeń przed żądaniami cross-origin dla operacji zmieniających stan aplikacji. Brak tej ochrony pozwala całkowicie obejść granicę cross-origin i przeprowadzić ataki typu Cross-Site Request Forgery na dowolny endpoint.

W NTFS-3G przed wersją 2026.7.7 występuje przepełnienie bufora na stercie w funkcji ntfs_ib_cut_tail() w libntfs-3g/index.c. Atakujący może uszkodzić pamięć sterty w binarium ntfs-3g z uprawnieniami SUID-root poprzez spreparowanie złośliwego obrazu NTFS; przepełnienie jest wyzwalane przez utworzenie pliku w specjalnie przygotowanym katalogu.

W NTFS-3G przed wersją 2026.7.7 występuje przepełnienie bufora na stercie w funkcji ntfs_ib_copy_tail() w libntfs-3g/index.c. Atakujący może uszkodzić pamięć sterty w binarium ntfs-3g z uprawnieniami SUID-root poprzez spreparowanie złośliwego obrazu NTFS; przepełnienie jest wyzwalane przez rozszerzenie katalogu, np. poprzez utworzenie pliku.

wger, menedżer treningów i fitnessu, przed wersją 2.6 zawiera podatność, która pozwala użytkownikowi z uprawnieniem `gym_trainer` dezaktywować dowolne konto w tej samej siłowni, w tym konta `gym_manager` i `general_gym_manager`. Widok `UserDeactivateView` przyznaje dostęp każdemu posiadającemu którekolwiek z uprawnień `gym.manage_gym`, `gym.manage_gyms` lub `gym.gym_trainer` (logika OR), bez sprawdzania hierarchii uprawnień, co pozwala niższej roli wyłączyć wyższą. Wersja 2.6 naprawia problem.

wger przed wersją 2.6 zawiera podatność w pięciu widokach zarządzania siłownią, gdzie zabezpieczenie zakresu siłowni (`gym_a != gym_b`) jest błędnie pomijane, gdy oba operandy są `None`. Trener z uprawnieniami `gym.gym_trainer` i `gym.add_adminusernote` oraz bez przypisanej siłowni (`gym=None`) może czytać prywatne notatki administratora, przesłane dokumenty, umowy siłowni, konfigurację użytkownika i dane uprawnień dowolnego innego użytkownika w instancji. Zapytania filtrują tylko po `member_id` bez dodatkowej walidacji zakresu siłowni, co ujawnia wszystkie rekordy. Wersja 2.6 naprawia problem.

NTFS-3G przed wersją 2026.7.7 zawiera przepełnienie sterty w funkcji ntfs_decompress() w pliku compress.c, które pozwala atakującemu uszkodzić jeden bajt pamięci sterty w binarnym pliku ntfs-3g z uprawnieniami SUID-root poprzez spreparowany obraz NTFS. Przepełnienie jest wyzwalane przez odczyt specjalnie spreparowanego pliku.

W NTFS-3G przed wersją 2026.7.7 występuje przepełnienie bufora na stercie w funkcji ntfs_ir_to_ib() w index.c. Atakujący może uszkodzić pamięć sterty w binarium ntfs-3g z uprawnieniami SUID-root poprzez spreparowanie złośliwego obrazu NTFS; przepełnienie jest wyzwalane przez rozszerzenie katalogu, np. poprzez utworzenie pliku.

W NTFS-3G przed wersją 2026.7.7 występuje przepełnienie bufora na stercie w funkcji cat() w ntfscat.c. Atakujący może uszkodzić pamięć sterty w binarium ntfscat poprzez spreparowanie złośliwego obrazu NTFS; przepełnienie jest wyzwalane przez odczyt pliku.

llama.cpp przed wersją b11393 zawiera podatność use-after-free i double free w funkcji common_chat_peg_mapper::map, która pozwala nieuwierzytelnionym zdalnym atakującym uszkodzić pamięć sterty przez zwisający wskaźnik current_tool. Atakujący mogą wysłać chat_parser w żądaniu POST /completion emitującym tool-id po tagu tool-close, aby spowodować awarię llama-server i uzyskać prymityw zapisu do sterty.

Telegram Desktop przed wersją 7.2.9 zawiera podatność na wstrzyknięcie separatora rekordów IPC w komponencie Core::Sandbox, która pozwala zdalnym atakującym wstrzyknąć rekordy OPEN: przez spreparowane linki tg:// zawierające niezmienione średniki. Atakujący mogą dotrzeć do handlera schematu interpret:, aby przesłać lokalne pliki, w tym klucze sesji tdata, na kanał atakującego, co umożliwia przejęcie konta.

Podatność Zip Slip w interfejsie SMA1000 Appliance Management Console (AMC) pozwala atakującemu na rozpakowanie plików poza zamierzone katalogi docelowe przy użyciu specjalnie spreparowanego archiwum, co prowadzi do zdalnego wykonania kodu.

W jądrze Linux występuje podatność use-after-free w tcp_send_synack() dotycząca retransmit_skb_hint. Gdy tcp_send_synack() zastępuje sklonowany SYN skb na początku kolejki retransmisji kopią, zwalnia oryginał, ale tp->retransmit_skb_hint nadal wskazuje na zwolniony obiekt, co może być wykorzystane przez nieuprzywilejowanego klienta TFO do wywołania use-after-free.

W instancjach MISP skonfigurowanych z wymaganym TOTP (Security.otp_required), wymuszanie konfiguracji dwuskładnikowego uwierzytelniania dotyczyło tylko standardowych żądań przeglądarki. Uwierzytelniony użytkownik, który nie zapisał się jeszcze do TOTP, mógł ominąć wymuszoną konfigurację, wysyłając żądania nieprzeglądarkowe, takie jak AJAX/XHR, API REST, URL-e .json, restSearch czy akcje automatyzacji. Ponieważ te żądania nie mogą podążać za przekierowaniem, które prowadzi do strony rejestracji TOTP, kontrola była pomijana, a użytkownik zachowywał pełny dostęp bez dokończenia konfiguracji drugiego czynnika. Poprawki (commity 8deb0619e i 6b527ba6e) rozszerzyły ochronę na wszystkie nieprzeglądarkowe żądania, z wyjątkiem uwierzytelnienia przez klucz API. Wersja dotknięta: <2.5.48.

Claude Code sprawdzał, czy docelowa ścieżka pliku znajduje się w katalogu roboczym projektu w momencie sprawdzania uprawnień, ale ponownie rozwiązywał ścieżkę w momencie zapisu bez powtórnej walidacji. Ta luka typu time-of-check to time-of-use (TOCTOU) pozwalała atakującemu, który może pisać do przestrzeni roboczej, na atomową zamianę pliku projektu na dowiązanie symboliczne, co powodowało, że Claude Code podążał za dowiązaniem i zapisywał dane do dowolnego pliku poza piaskownicą projektu. Wymagało to wygrania wyścigu z operacją zapisu i dostępu do zapisu w współdzielonej przestrzeni roboczej, co umożliwiało atakującemu o niższych uprawnieniach przekierowanie nieszkodliwych edycji do wrażliwych plików (np. konfiguracji powłoki) w sesji o wyższych uprawnieniach. Użytkownicy standardowej automatycznej aktualizacji otrzymali poprawkę; ręczne aktualizacje wymagają aktualizacji do najnowszej wersji.

Po uwierzytelnieniu, w urządzeniu SMA1000 zidentyfikowano podatność na wstrzyknięcie poleceń systemu operacyjnego (OS Command Injection), która w określonych warunkach może pozwolić zdalnemu uwierzytelnionemu atakującemu z uprawnieniami administratora na wykonanie dowolnych poleceń systemowych, co prowadzi do zdalnego wykonania kodu.

Wtyczka Slider by 10Web (slider-wd) zawiera podatność na ślepą iniekcję SQL. Problem występuje w wersjach do 1.2.63 włącznie.

Wtyczka WP Post Author od AF themes zawiera podatność na ślepą iniekcję SQL. Problem dotyczy wersji do 4.0.0 włącznie.

GitAhead do wersji 2.7.1 na macOS zawiera podatność na iniekcję poleceń, która pozwala atakującym na wykonanie poleceń powłoki poprzez spreparowane nazwy plików w repozytorium. Atakujący może dodać plik, którego ścieżka zawiera cudzysłów i kod do wykonania, który uruchomi się przy wybraniu opcji 'Show in Finder'.

GitAhead do wersji 2.7.1 zawiera podatność na iniekcję poleceń systemu operacyjnego w pliku src/git/Filter.cpp, która pozwala złośliwym repozytoriom na wykonanie poleceń poprzez podstawienie spreparowanych nazw plików do poleceń filtrów clean/smudge. Atakujący mogą dostarczyć pliki z nazwami zawierającymi $(command) wybrane przez .gitattributes, tak aby operacje checkout lub staging uruchomiły polecenie przez bash -c jako ofiara.