Katalog podatności CVE

W opcjonalnej wtyczce BcThemeFile w baserCMS administracyjne API waliduje surową ścieżkę w ThemeFilesService::update() i getFullpath(), ale ThemeFileForm::_execute() następnie stosuje rawurldecode() do fullpath przed zapisem. Ponieważ normalizePath() rozwiązuje tylko literalne segmenty kropkowe, procentowo zakodowane przejście może ominąć sprawdzenia zawierania i stać się ścieżką poza katalogiem motywu w miejscu zapisu. Uwierzytelniony administrator może zapisywać pliki PHP w miejscach takich jak webroot i je wykonywać, przekraczając zamierzoną granicę edycji szablonów motywu.

W baserCMS akcje list i detail w prefiksach Admin i Api/Admin przekazują parametry zapytania (w tym contain, conditions, fields, finder i order) bezpośrednio do ORM jako opcje. Użytkownik mogący zalogować się do panelu administracyjnego może osadzić fragmenty SQL w tych opcjach, aby wykonać dowolny SQL na bazie danych aplikacji, w tym odczytać hasła z tabeli użytkowników. Poprawki dla publicznych stron i API wydane w wersjach 5.3.1 i 5.4.1 nie chroniły tych ścieżek administracyjnych.

W firmware DJI CrystalSky ZS600C w wersjach v0.3.9.7–v0.6.6.9 demon Android Debug Bridge (adbd) nie wymaga uwierzytelnienia dla krytycznej funkcji. Urządzenie ma ro.adb.secure=0 i domyślnie włączony ADB przez USB; po włączeniu ADB przez TCP ten sam nieuwierzytelniony shell (uid 2000) jest osiągalny sieciowo. Stanowi to punkt wyjścia do eskalacji uprawnień do roota.

Brak autoryzacji w uprzywilejowanym systemowo binderze 'DJIUpdateService' w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala lokalnej aplikacji bez uprawnień wywoływać uprzywilejowane operacje, w tym przywrócenie ustawień fabrycznych z czyszczeniem danych użytkownika (transakcja 153), wyłączenie (105), zmianę zegara/strefy czasowej (101/123) oraz przekazanie do zastosowania firmware'u (151), ponieważ onTransact() nie sprawdza tożsamości wywołującego ani uprawnień.

Wstrzyknięcie poleceń systemu operacyjnego w uprzywilejowanym jako root pomocniku 'hardware_monitor' w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala lokalnemu nieuprzywilejowanemu procesowi wykonać dowolne polecenia jako root poprzez zapisanie spreparowanej linii do logu Androida (logcat), którą pomocnik odczytuje i przekazuje do powłoki eval.

Brak autoryzacji w natywnym serwisie binder 'android.dji.server' (kod transakcji 1018) w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala lokalnej aplikacji bez uprawnień wykonać dowolne polecenia systemu operacyjnego jako root, ponieważ handler przekazuje ciąg znaków dostarczony przez wywołującego do system() w uprzywilejowanym jako root demonie 'assistant' bez sprawdzania tożsamości wywołującego ani uprawnień.

Ukryta funkcjonalność (nieudokumentowane backdoor) w uprzywilejowanym jako root demonie 'assistant' w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala fizycznie obecnemu atakującemu z dostępem USB wykonać dowolne polecenia systemu operacyjnego jako root poprzez wysłanie zaszytego na stałe ciągu magicznego 'dji26656677' do interfejsu szeregowego gadżetu USB (/dev/ttyGS0), po czym każda kolejna linia jest przekazywana do system().

Podatność typu reflected XSS w Classic Web Client Zimbra Collaboration Suite pozwala atakującemu wstrzyknąć JavaScript przez parametr packages edytora dokumentów /h/rest. Edytor wstawia nazwy pakietów do atrybutów skryptu bez kodowania HTML. W połączeniu z CVE-2026-50053 atakujący z zwykłym kontem Zimbra może wykonać JavaScript w sesji przeglądarki innego zalogowanego użytkownika.

W jądrze Linux w dm-integrity występuje błąd, który powoduje dereferencję wskaźnika NULL, gdy urządzenie ma ustawioną flagę SB_FLAG_DIRTY_BITMAP i jest aktywowane w trybie 'R'. Funkcja dm_integrity_resume próbuje odczytać dziennik zawierający bitmapę, co prowadzi do awarii. Poprawka pomija zapisy do urządzenia w trybie 'R' podczas wznawiania.

W jądrze Linux dm-integrity nie waliduje superbloku podczas wznawiania urządzenia, co pozwala użytkownikowi zmodyfikować superblok na nośniku podczas zawieszenia urządzenia. Może to prowadzić do niezgodności rozmiarów struktur w pamięci i zapisu poza dziennik, w tym zapisu 512 bajtów przez wskaźnik NULL. Poprawka zapisuje zwalidowany superblok w konstruktorze i odmawia wznowienia, jeśli geometria na dysku uległa zmianie.

W jądrze Linux naprawiono błąd w schedulerze sched_ext, który powodował zawieszenie przy wyłączaniu CPU, gdy zadania wygasającego procesora pozostawały w kolejce BPF schedulera. Zadania te były nadal liczone w runqueue, ale nieaktywny CPU nie wywoływał ops.dispatch() i nie mógł ich przejąć, co blokowało wątek hotplug i cpu_down() trzymający cpu_hotplug_lock. Poprawka ponownie kolejkuje zadania z offline'owanego rq na lokalny DSQ, aby balance_push() mógł je przenieść.

W jądrze Linux naprawiono problem w iterate_dir(), gdzie blokada i_rwsem katalogu była trzymana podczas odczytu katalogu, nawet jeśli katalog jest niezmienny i nigdy nie jest usuwany. Dla katalogu instancji nullfs (współdzielonego przez wiele przestrzeni nazw montowania i wątków jądra) złośliwy czytelnik mógł zablokować tę blokadę na dowolnie długo, blokując operacje mkdir, wyszukiwania i montowania dla innych użytkowników. Dodano flagę FOP_IMMUTABLE, która pozwala pominąć blokadę dla takich katalogów.

W jądrze Linux serwer ksmbd ma błąd zapisu poza granice sterty w funkcji krb5_authenticate(). Gdy SMB2_SESSION_SETUP jest przetwarzane jako niepierwszy element złożonego żądania SMB2, obliczenie out_len pomija work->next_smb2_rsp_hdr_off, co zawyża dostępne miejsce w buforze i pozwala memcpy() zapisać blob AP-REP poza response_buf. Poprawka odejmuje tę wartość przy obliczaniu out_len.

W jądrze Linux naprawiono błąd w KVM na architekturze x86 dotyczący pamięci podręcznej MMIO dla poszczególnych vCPU. Cache był oznaczany generacją memslotów, ale zarówno przy wypełnianiu, jak i walidacji używano kvm_memslots() wybierającego bezwarunkowo przestrzeń adresową 0, nawet gdy vCPU działał w trybie SMM i korzystał z przestrzeni adresowej 1. W rezultacie aktualizacja memslotów SMM mogła pozostawić pozornie ważny wpis z dawnej przestrzeni SMM po powrocie vCPU do normalnej przestrzeni adresowej, co pozwalało gościowi wymusić wyjście KVM_EXIT_MMIO dla prawidłowego RAM.

W jądrze Linux w sterowniku bnxt_en występuje błąd mapowania DMA dla małych pakietów z dopełnieniem. Funkcja bnxt_start_xmit() dopełnia pakiety mniejsze niż 52 bajty, ale długość przekazywana do dma_map_single() pozostaje niezmieniona, przez co karta sieciowa odczytuje więcej bajtów niż zmapowano, powodując błąd IOMMU i timeout kolejki transmisji.

W jądrze Linux w funkcji clear_inode() występuje wyciek węzłów xarray, który można wywołać m.in. przez madvise. Zamiast naprawiać wycieki w miejscach ich powstawania, poprawka wywołuje xa_destroy(), co dodatkowo cyklicznie zwalnia i pobiera blokadę i_pages.

W jądrze Linux sterownik net/mlx5e może zwolnić nieaktualny bufor XSK podczas ponownej próby uzupełnienia w legacy cyclic RQ. Gdy uzupełnienie powiedzie się tylko częściowo, WQE bez zamiennika zachowuje stary wskaźnik do bufora, który może zostać przydzielony innemu WQE, co prowadzi do zwolnienia aktywnego bufora i podwójnego opublikowania tej samej ramki UMEM. Poprawka oznacza WQE jako zwolniony natychmiast po zwolnieniu po stronie sterownika.

W jądrze Linux sterownik net/mlx5e może zwolnić nieaktualny bufor XSK podczas ponownej próby uzupełnienia MPWQE w striding RQ. Gdy alokacja XSK zwróci -ENOMEM, actual_wq_head nie jest przesuwany, a późniejsza próba NAPI może ponownie wywołać xsk_buff_free() przez nieaktualne wskaźniki po zwróceniu ramek do puli XSK. Poprawka ustawia wszystkie bity skip_release_bitmap w ścieżce błędu mlx5e_xsk_alloc_rx_mpwqe().

W jądrze Linux naprawiono podatność w obsłudze protokołu IPv4/UDP, która pozwalała atakującemu spoza ścieżki na przeprowadzenie ataku side-channel na cache wyjątków FIB (FNHE). Poprzednio wyjątek był tworzony tylko wtedy, gdy pakiet UDP można było dopasować do istniejącego gniazda, co umożliwiało odkrycie efemerycznego portu używanego przez połączone gniazdo UDP. Poprawka polega na zawsze tworzeniu FNHE przed próbą dopasowania gniazda.

W jądrze Linux naprawiono podatność w obsłudze IPv6/UDP, która pozwalała atakującemu spoza ścieżki na atak side-channel na pamięć podręczną wyjątków (exception cache). Poprzednio wyjątek był tworzony tylko wtedy, gdy pakiet UDP dało się dopasować do istniejącego gniazda, co umożliwiało odkrycie efemerycznego portu używanego przez połączone gniazdo UDP. Poprawka polega na zawsze tworzeniu wyjątku przed próbą dopasowania gniazda.