Katalog podatności CVE

Podatność w stosie Bluetooth hosta Zephyr dotyczy błędnego przypisania rezerwacji obiektu bt_conn do zestawu reklamowego przy połączeniach przychodzących. Gdy aplikacja uruchamia wiele rozszerzonych zestawów reklamowych (CONFIG_BT_EXT_ADV_MAX_ADV_SET > 1), funkcja find_pending_connect() może zwrócić rezerwację należącą do innego, wciąż aktywnego zestawu, co prowadzi do trwałego wycieku slotu połączenia. Atakujący w zasięgu radiowym może to wykorzystać bez uwierzytelnienia, doprowadzając do wyczerpania puli połączeń i odmowy usługi.

Podatność w serwerze Object Transfer Service (OTS) w stosie Bluetooth Zephyr. Funkcja oacp_ind_send() dołącza pole Checksum Value do odpowiedzi OACP niezależnie od kodu wyniku, a bufor odpowiedzi jest wypełniany tylko na ścieżce sukcesu. W przypadku niepowodzenia walidacji (np. brak wybranego obiektu) wywoływane jest net_buf_simple_pull_le32() na buforze o zerowej długości.

W Johnson Controls Kantech Entrapass przed wersją 9.20 występuje użycie zaszyfrowanego klucza kryptograficznego zapisanego na stałe, co umożliwia atak kryptograficzny typu padding oracle.

W systemie Johnson Controls Kantech Entrapass występuje podatność polegająca na przechowywaniu poufnych informacji w pamięci w postaci jawnej, co umożliwia odzyskanie osadzonych danych wrażliwych. Problem dotyczy wersji przed 9.20.

Podatność dotyczy stosu IPv6 w Zephyr RTOS, gdzie klucz używany do generowania stabilnych (RFC 7217) i tymczasowych (RFC 8981) identyfikatorów interfejsu był tworzony za pomocą sys_rand_get(), które nie jest kryptograficznie bezpieczne. W rezultacie obserwator ruchu sieciowego może odzyskać stan generatora i odtworzyć klucz, co pozwala przewidywać adresy IPv6 urządzenia i śledzić je w różnych sieciach.

W GStreamer Editing Services (gst-editing-services) plik projektu GES może osadzać dowolny opis potoku GStreamera jako definicję efektu. Po wczytaniu takiego pliku opis potoku jest parsowany i instancjonowany bez ograniczeń co do dozwolonych elementów i właściwości, co pozwala zdalnemu atakującemu na odczyt lub zapis dowolnych plików lokalnych, wysyłanie żądań sieciowych lub awarię aplikacji.

Pyrus Sync for Windows zawiera lukę lokalnego podniesienia uprawnień spowodowaną brakiem kontroli autoryzacji w usłudze PyrusSyncService. Atakujący z nieuprzywilejowanym dostępem może tworzyć pliki za pomocą kontraktu ISyncService.

Wtyczka Easy Digital Downloads do WordPressa (do wersji 3.7.1) zawiera podatność typu race condition wynikającą z nieprawidłowej synchronizacji współdzielonych zasobów. Może to prowadzić do wykorzystania warunków wyścigu przez atakującego.

Wtyczka Amelia do WordPressa (do wersji 2.4.12) nie neutralizuje prawidłowo danych wejściowych podczas generowania stron, co umożliwia atak typu Stored Cross-site Scripting (XSS). Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.

Wtyczka LightBox Block do WordPressa (do wersji 1.2.0) nie neutralizuje prawidłowo danych wejściowych podczas generowania stron, co umożliwia atak typu Stored Cross-site Scripting (XSS). Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.

Wtyczka Amelia do WordPressa (do wersji 2.4.10) ma brakującą autoryzację, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykonać operacje, do których nie powinien mieć uprawnień.

W oprogramowaniu Bdtask Garage 24 Garage Management Software 1.0 wykryto słabość w nieznanym kodzie komponentu Backend. Manipulacja może prowadzić do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.

W urządzeniu Akuvox Akubela HyPanel PS51 51.130.40.26 wykryto słabość w nieznanej funkcji pliku /login. Manipulacja argumentem engrmode z wartością admin może prowadzić do nieprawidłowego uwierzytelnienia, a atak można przeprowadzić zdalnie. Producent nie odpowiedział na zgłoszenie.

W grze 2K Games Sid Meier's Civilization VI 1.0.12.68 odkryto lukę w zabezpieczeniach. Dotyczy ona funkcji loadstring w komponencie piaskownicy Lua i prowadzi do pomylenia typów (type confusion). Atak można zainicjować zdalnie, a exploit został publicznie udostępniony i może być wykorzystany. Poprawka nosi nazwę Hotfix November 2026.

vLLM to silnik wnioskowania i serwowania dużych modeli językowych. Przed wersją 0.32.0 enkoder audio Phi-4 w plikach phi4mm_audio.py i phi4mm_utils.py domyślnie używa eager attention, co pozwala zdalnemu klientowi przesłać jeden długi klip audio powodujący materializację pełnych macierzy uwagi i kwadratowe zużycie pamięci GPU, prowadząc do wyczerpania pamięci i zakończenia EngineCore dla wszystkich użytkowników.

W vLLM przed wersją 0.32.0 uwierzytelniony wywołujący może umieścić sfałszowane wartości adresu pamięci współdzielonej i monotonic_id w publicznym polu multimodal features.kwargs_data. W wdrożeniach scale-out z włączonym buforowaniem pamięci współdzielonej workery ufają tym wartościom i przekazują wybrane przez atakującego bajty do pickle.loads(), co pozwala na dowolne wykonanie kodu w Pythonie.

vLLM to silnik wnioskowania i serwowania dużych modeli językowych. Od wersji 0.19.0 do 0.32.0 uwierzytelnieni klienci mogą dostarczyć szablon czatu, gdy nie skonfigurowano serwerowego --chat-template, albo złośliwe repozytorium modelu może dostarczyć szablon kompilowany i renderowany przez tokenizer.apply_chat_template() bez limitu czasu, rozmiaru wyjścia ani liczby iteracji. Renderowanie odbywa się w ThreadPoolExecutor z jednym workerem, więc nieskończone renderowanie może zablokować /v1/responses i innych użytkowników szablonów, a rozszerzające wyjście może wyczerpać pamięć serwera.

Python Social Auth to mechanizm uwierzytelniania i rejestracji społecznościowej. Przed wersją 6.2.0 OpenIdConnectAuth w social_core/backends/open_id_connect.py umieszcza nonce OpenID Connect w współdzielonej tabeli OpenIdConnectAssociation, a get_nonce i validate_claims sprawdzają tylko, czy nonce istnieje i nie wygasł, bez powiązania go z sesją przeglądarki i stanem OAuth. Atakujący, który uzyska nieużyty kod autoryzacyjny ofiary, może rozpocząć osobne logowanie, aby uzyskać ważny stan dla swojej przeglądarki, przesłać kod ofiary z tym stanem i przejść walidację nonce, ponieważ nonce ofiary jest globalnie dostępny. Przy wyłączonym DEFAULT_USE_PKCE atakujący może zostać zalogowany jako ofiara.

W bibliotece zip dla Rusta od wersji 1.3.0 do 9.0.0 funkcja ZipArchive::extract wywołuje Vec::with_capacity dla celu dowiązania symbolicznego przy użyciu kontrolowanego przez atakującego rozmiaru ZIP64 uncompressed_size przed odczytaniem danych wpisu. Małe archiwum może zażądać niemożliwej pojemności, powodując przerwanie procesu, którego nie można objąć catch_unwind ani wątkiem roboczym.

W bibliotece zip dla Rusta od wersji 7.2.0 do 9.0.0 funkcje ZipArchive::extract i ZipArchive::extract_unwrapped_root_dir walidują cele dowiązań symbolicznych przez leksykalne porównanie prefiksu zamiast rozwiązywania każdego pośredniego dowiązania. Atakujący znający docelowy katalog rozpakowania może utworzyć łańcuch, którego pozorny cel pozostaje w katalogu docelowym, podczas gdy pośrednie dowiązanie prowadzi poza niego, co pozwala na tworzenie lub nadpisywanie plików z uprawnieniami procesu rozpakowującego.