Katalog podatności CVE

IBM Security Verify Access w wersjach 10.0 do 10.0.9.2 oraz IBM Verify Identity Access w wersjach 11.0 do 11.0.3 są podatne na atak zdalny powodujący odmowę usługi (DoS) z powodu niekontrolowanej rekurencji.

IBM Security Verify Access w wersjach 10.0 do 10.0.9.2 oraz IBM Verify Identity Access w wersjach 11.0 do 11.0.3 zawierają podatność SQL injection, która umożliwia zdalnemu uwierzytelnionemu atakującemu modyfikację danych i wywołanie odmowy usługi.

IBM Security Verify Access w wersjach 10.0 do 10.0.9.2 oraz IBM Verify Identity Access w wersjach 11.0 do 11.0.3 pozwalają atakującemu z uprawnieniami administracyjnymi i dostępem do lokalnego interfejsu zarządzania na wykonanie dowolnego kodu z powodu niezabezpieczonego zapisu do bufora stosu o stałym rozmiarze.

Lokalny interfejs zarządzania IBM Security Verify Access w wersjach 10.0 do 10.0.9.2 oraz IBM Verify Identity Access w wersjach 11.0 do 11.0.3 w niektórych konfiguracjach jest podatny na cross-site scripting (XSS). Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, zmieniając jego działanie i potencjalnie ujawniając poświadczenia w zaufanej sesji.

IBM Security Verify Access w wersjach 10.0 do 10.0.9.2 oraz IBM Verify Identity Access w wersjach 11.0 do 11.0.3 mogą nie egzekwować poprawnie autoryzacji dla niektórych serwerów webowych.

IBM Security Verify Access w wersjach 10.0 do 10.0.9.2 oraz IBM Verify Identity Access w wersjach 11.0 do 11.0.3 są podatne na atak ujawnienia informacji.

MIT Kerberos 5 (krb5) do wersji 1.22.2 zawiera dereferencję wskaźnika NULL w funkcji make_cred_list() w pliku rd_cred.c, co pozwala uwierzytelnionym klientom Kerberos na zawieszenie usług poprzez wysyłanie niezgodnych tablic KRB-CRED. Atakujący mogą wysyłać przekazane poświadczenia z większą liczbą biletów niż wpisów ticket_info przez gss_accept_sec_context(), powodując awarię usług akceptora GSS-API i odmowę usługi.

MIT krb5 do wersji 1.22.2 zawiera podatność dereferencji wskaźnika NULL w funkcji get_pac_princ_with_realm() centrum dystrybucji kluczy (KDC), która zwraca sukces pozostawiając główny podmiot klienta jako NULL przy nieprawidłowych nazwach. Złośliwe lub przejęte zaufane KDC międzyrealmowe może wysłać żądanie S4U2Proxy z PAC zawierającym nieprawidłową nazwę klienta, aby zawiesić krb5kdc i uniemożliwić uwierzytelnianie.

Indico to system zarządzania wydarzeniami korzystający z Flask-Multipass. W wersjach przed 3.3.13 użytkownicy mogący tworzyć treści, w tym prelegenci tworzący protokoły, mogą zapisać spreparowany kod HTML w protokołach wydarzenia. Przy równoczesnej edycji tego samego protokołu interfejs rozwiązywania konfliktów może wykonać skrypt kontrolowany przez atakującego w przeglądarce przeglądającego w domenie Indico. Problem naprawiono w wersji 3.3.13.

Akcelerator binarny sterownika MongoDB Python Driver może odczytywać dane poza buforem, gdy aplikacja dekoduje nieprawidłowy BSON zawierający obcięty element wyrażenia regularnego bez końcowego bajtu NUL. Podmiot mogący dostarczyć BSON do udokumentowanego API decode lub decode_all może spowodować zakończenie procesu aplikacji, gdy załadowane jest rozszerzenie C. Normalna ścieżka protokołu sieciowego sterownika nie osiąga tego kodu.

Oprogramowanie układowe urządzeń Tapo przechowuje specyficzne dla urządzenia materiały kryptograficzne w postaci jawnego tekstu w pamięci nieulotnej. Atakujący z fizycznym dostępem do urządzenia może odzyskać te wrażliwe dane z oprogramowania układowego. Udane wykorzystanie może ujawnić materiały kryptograficzne i zwiększyć ryzyko nieautoryzowanego dostępu do chronionych informacji lub komunikacji.

IBM Guardium Data Protection 12.2.2 ma podatność na ujawnienie wrażliwych informacji. Podczas przetwarzania SECRET i API_KEY, dane uwierzytelniające są logowane na poziomie INFO przez komponenty edge-controller/edge-manager. Uwierzytelniony atakujący z dostępem do odpowiednich logów aplikacji lub kontenerów może uzyskać te dane uwierzytelniające i wykorzystać je do podszywania się pod usługi lub uzyskania nieautoryzowanego dostępu do płaszczyzny kontroli Guardium.

Dolibarr ERP CRM przed wersją 24.0.2 zawiera podatność nieprawidłowej autoryzacji w htdocs/core/ajax/updateextrafield.php, która sprawdza tylko uprawnienia do odczytu przed zapisem wartości pól dodatkowych. Uwierzytelnieni użytkownicy z dostępem tylko do odczytu mogą wysyłać parametry objectType, objectId, field i value, aby trwale modyfikować pola dodatkowe w widocznych kontrahentach, produktach, członkach, projektach lub kontaktach.

Poppler 0.42.0 do 26.10.0 zawiera przepełnienie bufora na stosie w funkcji Decrypt::revision6Hash(), które pozwala atakującym kontrolującym hasło na nadpisanie pamięci stosu podczas otwierania zaszyfrowanych plików PDF AESV3/R6. Atakujący może dostarczyć hasło dłuższe niż 127 bajtów przez aplikacje korzystające z libpoppler, libpoppler-glib lub API C++, co powoduje przepełnienie buforów K1 i E, prowadząc do awarii procesu lub uszkodzenia pamięci.

Nieprawidłowe rozwiązywanie linków przed dostępem do plików w obsłudze pakowania zasobów w AWS aws-cdk-lib przed wersją 2.267.0 może umożliwić atakującemu zależnemu od kontekstu opublikowanie plików z hosta budującego jako wdrożonego zasobu. Aby naprawić ten problem, użytkownicy powinni zaktualizować do wersji 2.267.0 lub nowszej.

Indico to system zarządzania wydarzeniami, który używa Flask-Multipass, wielozadaniowego systemu uwierzytelniania dla Flask. Przed wersją 3.3.13 użytkownicy, którzy mogą zarządzać wydarzeniami lub tworzyć treści, w tym prelegenci mogący przesyłać materiały, mogą przechowywać spreparowane adresy URL JavaScript w polach akceptujących niestandardowe adresy URL. Użytkownik, który kliknie taki adres URL, może wykonać skrypt kontrolowany przez atakującego w przeglądarce w kontekście Indico. Problem został naprawiony w wersji 3.3.13.

W systemie Indico przed wersją 3.3.13 uwierzytelniony użytkownik może wykorzystać starsze API eksportu sesji, aby uzyskać szczegóły zastrzeżonej sesji bez posiadania do niej dostępu, o ile wydarzenie ją zawierające jest dostępne. Brak sprawdzenia uprawnień może ujawnić metadane sesji, takie jak tytuł, opis i organizatorzy.

W systemie Indico przed wersją 3.3.13 poprzednia poprawka dla CVE-2026-25738 nie obejmowała przypadku brzegowego, umożliwiając organizatorowi wydarzenia przesłanie spreparowanego adresu URL wskazującego na zabroniony cel lokalny, który jest akceptowany jako prawidłowy przez Indico. Organizator może odczytać dane zwrócone przez ten cel za pośrednictwem podatnych funkcji Indico.

W FreeScout przed wersją 1.8.235, gdy włączone jest APP_CLOUDFLARE_IS_USED, FreeScout ufa niezweryfikowanemu nagłówkowi CF-Connecting-IP podczas nieudanych prób logowania i zapisuje sfałszowaną wartość w dzienniku aktywności. LogsMonitor wstawia tę wartość do e-maila alertu administratora bez escapowania HTML, co pozwala na wykonanie wstrzykniętego HTML po otwarciu wiadomości przez administratora.

W bibliotece music-metadata przed wersją 11.15.0 parser DSF obsługuje nierozpoznany fragment, wywołując tokenizer.ignore bez oczekiwania na zwróconą obietnicę i bez wcześniejszego odrzucenia rozmiaru fragmentu mniejszego niż 12-bajtowy nagłówek. Spreparowane dane wejściowe DSF mogą spowodować ujemną długość ignorowania; w strtok3 10.3.5 lub nowszym wynikowy RangeError jest odłączony od obietnicy parseBuffer i staje się nieobsłużonym odrzuceniem w domyślnym zachowaniu Node.js. Wywołanie parse może wydawać się zakończone sukcesem przed awarią procesu, omijając obsługę try/catch. Wykazany wpływ to jedynie utrata dostępności i wymaga ścieżki parsowania DSF.