Katalog podatności CVE

W HP One Agent dla niektórych produktów HP PC zidentyfikowano potencjalną lukę w zabezpieczeniach, która może umożliwić eskalację uprawnień i/lub wykonanie dowolnego kodu. HP udostępnia aktualizacje oprogramowania w celu złagodzenia tej potencjalnej podatności.

Niekompletna lista niedozwolonych danych wejściowych w walidatorze kodu Python narzędzia run_script w AWS MCP Server może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na wykonanie dowolnego kodu w swoim własnym izolowanym środowisku sesji za pomocą spreparowanego skryptu. AWS naprawiło ten problem po stronie usługi. Klient nie musi podejmować żadnych działań.

Electron to framework do tworzenia wieloplatformowych aplikacji desktopowych przy użyciu JavaScript, HTML i CSS. W wersjach przed 42.11.16, 43.8.1, 44.9.1 i 45.0.0-beta.6 Electron nie blokuje skompromitowanych certyfikatów pośrednich eMudhra w sieci Chromium, Node.js tls, Node.js https ani Node.js fetch. Atakujący posiadający certyfikat wystawiony przez taki certyfikat pośredni i mogący przechwycić ruch sieciowy może podszyć się pod serwer TLS dla podatnej aplikacji.

Fallow to narzędzie do analizy kodu dla TypeScript i JavaScript. Od wersji 2.68.0 do 3.34.0 Fallow podąża za ścieżkami projektów Jest kontrolowanymi przez atakującego poza katalogiem głównym projektu poprzez ścieżki absolutne, segmenty nadrzędne, globy z kropką lub dowiązania symboliczne. W wersji 3.33.1 to samo zachowanie dotyczy również ścieżek test.projects Vitest, ścieżek extends w projektach inline Vitest oraz ścieżek --config skryptów z dowiązaniami symbolicznymi. Fallow parsuje pliki zewnętrzne jako konfigurację testową i wykorzystuje je do przypisywania zależności, plików konfiguracyjnych i źródeł importu JSX, co może zmienić wyniki analizy nieużywanych zależności i plików w CI lub analizie agenta. Zawartość plików zewnętrznych nie jest drukowana ani wysyłana przez sieć.

Tandoor Recipes przed wersją 2.7.0 zawiera wadliwy projekt klucza pamięci podręcznej w pliku cookbook/helper/permission_helper.py, który pozwala uwierzytelnionym użytkownikom zachować nieaktualne uprawnienia grupowe w różnych przestrzeniach. Klucz pamięci podręcznej opiera się tylko na identyfikatorze użytkownika, pomijając aktywną przestrzeń, a wpis jest odświeżany przy każdym żądaniu. Atakujący może utworzyć własną przestrzeń, uzyskać uprawnienia administratora, a następnie przełączyć się na przestrzeń ofiary, gdzie nieaktualna decyzja o uprawnieniach administratora pozwala na podniesienie uprawnień i obejście odebrania uprawnień.

ConnMan do wersji 2.0 zawiera przepełnienie bufora na stosie w funkcji get_domains w gdhcp/client.c, wywoływane przez komunikat DHCPv6 Reply. Kopiuje ona stałą liczbę 1025 bajtów z opcji DOMAIN_LIST (opcja 24) do bufora stosu dns_name o rozmiarze 1026 bajtów, niezależnie od rzeczywistej długości opcji, a następnie przechodzi etykiety DNS w pętli bez ograniczeń. Spreparowany komunikat DHCPv6 REPLY z opcją DOMAIN_LIST o długości co najmniej 1025 niezerowych bajtów powoduje wyjście poza bufor i zapis/odczyt poza jego końcem. Atakujący w tej samej sieci może to wywołać bez uwierzytelnienia poprzez sfałszowany Router Advertisement (O=1) i sfałszowany DHCPv6 REPLY.

Podatność server-side request forgery w ścieżce pobierania modelu w AWS Multi Model Server w wersji 1.1.11 i wcześniejszych. Zdalny atakujący może kierować żądania do wewnętrznych adresów sieciowych za pomocą spreparowanego URL modelu. Projekt jest wycofany z eksploatacji i nie istnieje poprawiona wersja.

Podatność path traversal w procesie rozpakowywania archiwum modelu w AWS Multi Model Server w wersji 1.1.11 i wcześniejszych. Zdalny atakujący może wykorzystać spreparowane archiwum modelu do wykonania dowolnego kodu. Projekt jest wycofany z eksploatacji i nie istnieje poprawiona wersja.

Tokio to środowisko uruchomieniowe do pisania aplikacji w Rust. W wersji 1.54.0 warunek wyścigu między tokio::time::Interval::poll_tick (w tym .tick().await) a sterownikiem czasu wielowątkowego środowiska mógł usunąć wewnętrzny wpis timera bez synchronizacji z wątkiem sterownika, który go uruchamiał. Wyścig powodował use-after-free na wakerze timera i stanie zadania w bezpiecznym Rust, co mogło prowadzić do panik asercji, uszkodzenia licznika referencji zadania lub uszkodzenia pamięci sterty. Problem naprawiono w wersji 1.54.1.

W Kruize Autotune interfejs REST API działa bez warstwy uwierzytelniania, a endpointy zwracające konfigurację źródeł danych (GET /datasources oraz endpoint metadanych źródeł danych) serializują obiekty źródeł danych przy użyciu domyślnej konfiguracji Gson bez strategii wykluczania pól. W rezultacie sekrety uwierzytelniania zapisane dla każdego skonfigurowanego źródła monitoringu (hasła basic-auth, tokeny bearer, klucze API i sekrety klienta OAuth2) są zwracane w postaci jawnej każdemu klientowi mogącemu połączyć się z usługą. Atakujący z dostępem sieciowym może przechwycić te dane uwierzytelniające i użyć ich do uwierzytelnienia w monitorowanym stosie.

Nieprawidłowa sanityzacja w module rejestracji pozwala na odbity atak Cross-Site Scripting (XSS).

Tandoor Recipes przed wersją 2.7.0 zawiera podatność Server-Side Request Forgery (SSRF) w importerze Pestle. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wymusić na serwerze żądania GET do dowolnych hostów wewnętrznych lub zewnętrznych poprzez spreparowany URL obrazu w pliku importu JSON Pestle.

Błąd w module `crypto` Node.js powoduje, że wewnętrzne pamięci podręczne entropii używane przez `crypto.randomUUID()`, `crypto.randomUUIDv7()` i `crypto.randomInt()` są zapisywane w snapshotach startowych użytkownika (`--build-snapshot`) i aplikacjach jednoplikowych zbudowanych z `useSnapshot`.

Luka w egzekwowaniu uprawnień systemu plików w modelu uprawnień Node.js sprawia, że fs.realpathSync() nie wykonuje wymaganych sprawdzeń uprawnień do odczytu. To niekompletna poprawka CVE-2026-21715, która objęła jedynie fs.realpathSync.native(). Kod działający z --permission i ograniczonym --allow-fs-read może nadal używać fs.realpathSync() do sprawdzania istnienia plików, rozwiązywania dowiązań symbolicznych i wyliczania ścieżek poza dozwolonymi katalogami.

Błąd w weryfikacji nazwy hosta TLS w Node.js pozwala certyfikatowi z tylko DNS SAN na uwierzytelnienie punktu końcowego IP, gdy klient łączy się przy użyciu niekanonicznej pisowni IPv4, takiej jak `0177.0.0.1`, `0x7f.0.0.1`, `2130706433` lub `127.1`.

Luka w egzekwowaniu uprawnień systemu plików w modelu uprawnień Node.js może przyznać dostęp do ścieżek niezgodnych z regułą wieloznaczną --allow-fs-read lub --allow-fs-write. Gdy żądana ścieżka jest krótsza niż prefiks uprawnienia wieloznacznego, wyszukiwanie w drzewie radix kończy porównywanie wcześniej i uznaje ścieżkę za zgodną — np. --allow-fs-read=/etc/passwd.* zezwala również na odczyt /etc/passwd. Wymaga to, aby uprawnienie wieloznaczne znajdowało się bezpośrednio pod korzeniem drzewa uprawnień.

Luka w API zlib.ZipFile w Node.js może powodować zwracanie bajtów nienależących do żądanego wpisu, gdy walidacja nagłówka lokalnego i centralnego nie powiedzie się. Gdy odczytywane jest zipEntry.modified na archiwum, którego nagłówek lokalny nie zgadza się z katalogiem centralnym, błąd walidacji jest przechwytywany, ale sparsowany nagłówek lokalny pozostaje w pamięci podręcznej bez przesunięcia zawartości — późniejszy odczyt zwraca bajty kontrolowane przez atakującego, a weryfikacja CRC-32 nadal przechodzi. Skaner oparty na Node.js może zatwierdzić inną zawartość niż inna implementacja ZIP wyodrębni z tego samego archiwum.

Błąd w weryfikacji nazwy hosta TLS w Node.js może spowodować, że certyfikat serwera zostanie zweryfikowany względem innego adresu IP niż ten, z którym połączył się klient, gdy host jest niekanonicznym literałem IPv4 z wiodącym zerem, np. `0127.0.0.1`.

Błąd w weryfikacji nazwy hosta TLS w Node.js pozwala certyfikatowi bez pasującego adresu IP SAN na uwierzytelnienie połączenia z adresem IPv4, gdy host jest zapisany znakami nie-ASCII, np. pełnoszerokimi cyframi (`１２７.0.0.1`).

Błąd w rozwiązywaniu DNS w Node.js pozwala na ciche obcięcie nazw hostów zawierających bajt NUL przez funkcje dns.resolve*() i dns.reverse(). Jest to niekompletna poprawka CVE-2026-48930, która obejmowała tylko dns.lookup() i opcje hosta net/tls.