Katalog podatności CVE

Niekompletna implementacja X.509 w GnuTLS v3.8.13 pozwala atakującym kontrolującym podrzędne centrum certyfikacji na ominięcie ograniczeń PKI między domenami i wydawanie nieautoryzowanych certyfikatów.

Problem w gnutls v.3.8.13 pozwala atakującemu uzyskać wrażliwe informacje poprzez nieodrzucanie certyfikatów X.509 typu end-entity, które zawierają sprzeczne kombinacje Key Usage (KU) i Extended Key Usage (EKU).

Odczyt poza zakresem w parsowaniu odpowiedzi SCRAM w sterowniku MongoDB C może odczytać jeden bajt poza buforem o stałym rozmiarze podczas przetwarzania uszkodzonej wiadomości server-final. Serwer lub pośrednik sieciowy, który dostarczy tę wiadomość przed weryfikacją podpisu serwera, może spowodować zakończenie działania aplikacji.

msgpack5 to implementacja msgpack v5 dla node.js i przeglądarek. W wersjach przed 6.1.0 dekodowanie ujemnej liczby całkowitej 64-bitowej ze znakiem modyfikuje odpowiednie bajty w buforze wejściowym dostarczonym przez wywołującego podczas obliczania wartości. Aplikacje, które przechowują lub ponownie wykorzystują zakodowane dane wejściowe do kontroli integralności, logowania lub późniejszego przetwarzania, mogą zaobserwować ciche uszkodzenie danych; liczby dodatnie i inne typy wartości MessagePack nie są objęte problemem. Problem naprawiono w wersji 6.1.0.

FFmpeg do wersji 9.0.2 zawiera podatność ujawnienia niezainicjalizowanej pamięci w funkcji av_dynamic_hdr_plus_to_t35(), która pozostawia do trzech bajtów ładunku niezainicjalizowanych, gdy flaga tone_mapping_flag ma wartość 0. Atakujący może dostarczyć spreparowane metadane Matroska T.35 BlockAdditional lub HEVC/AV1 SEI, tak aby remuxing lub transkodowanie zapisało wyciekłą pamięć procesu do plików wyjściowych.

Pydantic AI to framework agentowy w Pythonie do budowania aplikacji i przepływów pracy z Generative AI. Od wersji 1.77.0 do 1.107.6 oraz 2.44.0 lokalne narzędzie web_fetch_tool i lokalny fallback WebFetch porównują wpisy blocked_domains z nazwą hosta URL, zanim obie wartości zostaną znormalizowane do postaci używanej przez getaddrinfo. Model pod wpływem atakującego może użyć równoważnej pisowni IDNA, separatora etykiety innego niż ASCII, zmiany wielkości liter lub końcowej etykiety głównej, która rozwiązuje się do zablokowanego hosta, ale nie pasuje do skonfigurowanego ciągu, powodując pobranie tego hosta z uprawnieniami aplikacji. allowed_domains działa fail-closed dla niedopasowanych pisowni, a ochrona przed prywatnymi adresami IP i metadanymi chmury pozostaje skuteczna. Problem naprawiono w wersjach 1.107.6 i 2.44.0.

Podatność niewłaściwej neutralizacji tagów HTML związanych ze skryptami na stronie internetowej (podstawowy XSS) w oprogramowaniu Eimzamip firmy İzometri IT Services Domestic and Foreign Trade Co. Ltd. umożliwia Stored XSS. Problem dotyczy eimzamip od wersji v1.6.4 przed v1.6.7.

Podatność nieprawidłowej konwersji lub rzutowania typów w BeamMCP.Server w ScriptKittyOS beam_mcp pozwala argumentom narzędzia JSON true, false i null klienta MCP dotrzeć do funkcji dispatch hosta jako ciągi "true", "false" i "nil". Po zaakceptowaniu wartości jako boolean przez BeamMCP.Schema.validate/2, normalize_arguments/2 przekazywało każdy argument przez to_json_value/1, którego klauzula atomowa konwertuje true, false i nil na ciągi. Ciąg jest prawdziwy w Elixir, więc host testujący argument boolean, na przykład if args.dry_run, wybiera przeciwną gałąź dla false, a guard taki jak confirm: false odczytywany jest jako ustawiony. Klient kontroluje argument i mógłby wysłać true bezpośrednio, więc praktyczny wpływ ogranicza się do hostów, których zachowanie dla false różni się od zachowania dla true, oraz do warstwy polityki przed serwerem, która zezwala na false, ale odmawia true. Ta sama normalizacja dotyczy argumentów prompts/get, które istnieją od 0.5.0. Problem dotyczy beam_mcp od 0.1.0 przed 0.10.1.

Zapis poza granicami sterty (heap OOB write) w funkcji convert_file_from_to() poprzez spreparowany nagłówek Content-Type pozwala atakującemu na zapis poza granicami, gdy e-mail jest używany jako szablon.

Wtyczka SMS Alert dla WordPressa przed wersją 4.0.1 nie sprawdza, czy działający administrator ma uprawnienia do zarządzania wybranymi użytkownikami przed zwróceniem ich zapisanych numerów telefonów. Administrator jednej witryny w sieci multisite może ujawnić numery telefonów użytkowników należących do innych witryn w tej sieci. Podatność dotyczy tylko multisite i wymaga, aby dane uwierzytelniające bramki SMS były przechowywane na witrynie działającego administratora.

Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.5 nie weryfikuje, czy użytkownik personelu zaplecza jest uprawniony do działania na konkretnym rekordzie przeznaczonym do usunięcia. Uwierzytelniony użytkownik z rolą pracownika ograniczoną do rekordów może nieodwracalnie usunąć dowolne zamówienie, klienta lub transakcję na stronie, w tym rekordy należące do innych pracowników i poza ich przydzielonym zakresem.

Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.9 nie egzekwuje autoryzacji na poziomie rekordu w kilku akcjach API AI Abilities. Uwierzytelniony użytkownik z rolą LatePoint Agent, zwykle ograniczony do własnych rekordów, może czytać i modyfikować dane profilowe innych agentów oraz czytać rezerwacje innych agentów i powiązane dane klientów, gdy funkcja Abilities API jest włączona.

Wtyczka Booking Calendar dla WordPressa przed wersją 11.8.3 nie ogranicza odpowiednio, które opcje może wczytać użytkownik o niższych uprawnieniach przez jeden z jej handlerów ustawień. Użytkownicy z rolą Edytora i wyższą mogą ujawnić wartości dowolnych opcji WordPressa, w tym podstawową konfigurację witryny.

Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa przed wersją 3.6.14 nie weryfikuje poprawnie autoryzacji w kilku akcjach zarządzania galerią i obrazami. Sprawdza własność względem innego obiektu niż ten, na którym działa, lub całkowicie pomija sprawdzenie. Pozwala to każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie współautora lub wyższym na klonowanie, modyfikowanie i zmienianie kolejności galerii i obrazów należących do innych użytkowników oraz zapisywanie metadanych wtyczki na dowolnych postach, których nie posiadają.

linuxserver Heimdall do wersji 2.8.3 stosuje mechanizm ochrony SSRF SafeUrlFetcher tylko do ItemController; żądania testu rozszerzonej aplikacji i statystyk na żywo odbywają się przez SupportedApps::execute(), klienta GuzzleHttp, który nie ma ograniczeń adresów IP. W niektórych realistycznych instalacjach punkty końcowe POST /test_config (i GET /get_stats) są dostępne przez CSRF, więc nieuwierzytelniony atakujący może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych hostów i portów (w tym 169.254.169.254) oraz odczytać status/oracle portu i częściowe dane odpowiedzi.

Wada wyścigu i problem z bezpieczeństwem wątkowym istnieje w demonie zarządzania siecią Brocade Fabric OS przed wersją 10.0.1. Podczas obsługi żądań uwierzytelniania użytkowników w wielowątkowym środowisku wykonawczym, wyścig powoduje, że moduły PAM przetwarzają nieaktualne lub nieprawidłowe adresy IP klienta i numery kontekstu przełączenia. Prowadzi to do niedokładnych rekordów audytu i potencjalnych obejść kontroli dostępu, gdy polityki AAA lub Calling-Station-ID ACL opierają się na atrybutach adresu IP klienta.

Magic: The Gathering Arena (klient Windows/Steam; wersja 2026.59.30.12801.127931.6 i niektóre późniejsze kompilacje 2026.60.x) przekazuje adres URL dostarczony przez serwer z akcji GoToExternalUrl karuzeli na ekranie głównym bezpośrednio do powłoki Windows przez Application.OpenURL/ShellExecuteW bez weryfikacji schematu URI lub domeny. Hipotetyczny atakujący, który może kontrolować treść karuzeli dostarczaną do klientów, może spowodować wywołanie dowolnych zarejestrowanych procedur obsługi schematów URI na hostach klientów bez interakcji użytkownika. Na przykład można oczekiwać, że treść karuzeli zawiera tylko URI https:, a nie ms-calculator:.

Wada wyścigu istnieje w logice przetwarzania żądań interfejsu REST do zarządzania w Brocade Fabric OS przed wersją 10.0.1. Podczas obsługi równoczesnych przychodzących żądań FCIP zarządzania siecią istnieje okno czasowe między momentem, gdy żądanie wypełnia zmienną adresu, a momentem, gdy usługa konstruuje i zwraca kontekst odpowiedzi. W rezultacie pierwsze żądanie przejmuje zmodyfikowany kontekst, co powoduje, że usługa zwraca wrażliwe szczegóły zarządzania lub dane konfiguracyjne należące do drugiego kontekstu z powrotem do pierwotnego żądającego.

Aplikacja Android "Ticket Ryutsu Center" nieprawidłowo obsługuje niestandardowe schematy URL, co pozwala złośliwej aplikacji na uzyskanie dostępu do dowolnej strony internetowej za pomocą spreparowanego Intent.

Niewystarczające sprawdzanie granic API w phalFelica w NXP NXPNfcRdLib RC663 do wersji 07.14.00_Pub może pozwolić atakującemu z uprawnieniami lub niezaufanej stronie trzeciej na dostęp do nieprzeznaczonych regionów pamięci, co może prowadzić do ograniczonej utraty poufności, integralności i dostępności. Wszystkie wersje oprogramowania od 07.18.00 naprawiły ten problem.