Katalog podatności CVE

W bibliotece Junrar przed wersją 7.5.10 wykryto podatność na path traversal w klasie `LocalFolderExtractor`. Umożliwia ona atakującemu zapis dowolnych plików o kontrolowanej treści do katalogów sąsiednich podczas wypakowywania spreparowanego archiwum RAR.

Vvveb przed wersją 1.0.8.1 zawiera podatność na trwałe ataki XSS, umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami do przesyłania i zmiany nazw plików ominięcie walidacji typu MIME poprzez dodanie nagłówka GIF89a do ładunku HTML/JavaScript, a następnie zmianę nazwy pliku na rozszerzenie .html. Pozwala to na wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora, co może prowadzić do utworzenia kont zapasowych i wgrania złośliwych wtyczek umożliwiających zdalne wykonanie kodu.

W podatności CVE-2026-6369 występuje niewłaściwa kontrola dostępu w kliencie canonical-livepatch przed wersją 10.15.0, co pozwala lokalnemu użytkownikowi bez uprawnień na uzyskanie wrażliwego tokena uwierzytelniającego na poziomie roota poprzez wysłanie nieautoryzowanego żądania do gniazda Unix livepatchd.sock. Problem ten występuje na systemach, gdzie administrator włączył klienta Livepatch z ważną subskrypcją Ubuntu Pro.

W crate'ie thin_vec wykryto podatność typu double-free i use-after-free w funkcjach `IntoIter::drop` oraz `ThinVec::clear`. Panika w `ptr::drop_in_place` powoduje pominięcie wyzerowania długości wektora.

W bibliotece RAGAS do wersji 0.4.3 odkryto podatność na fałszowanie żądań po stronie serwera (SSRF) w module Collections. Funkcje _try_process_local_file/_try_process_url w pliku util.py nieprawidłowo walidują argument retrieved_contexts, co umożliwia zdalnemu atakującemu wykonanie żądań do wewnętrznych zasobów. Exploit został opublikowany, a dostawca nie odpowiedział na zgłoszenie.

W OpenFGA w wersjach od 0.1.4 do 1.13.1, gdy skonfigurowano uwierzytelnianie za pomocą klucza wstępnie współdzielonego (preshared-key) i włączono wbudowany playground, lokalny serwer dołącza klucz API do odpowiedzi HTML endpointu /playground. Endpoint ten jest domyślnie włączony i nie wymaga uwierzytelnienia, co może prowadzić do wycieku wrażliwych danych.

Podatność w oprogramowaniu układowym Anviz CX7 umożliwia uwierzytelnionemu atakującemu przesłanie pliku CSV z manipulacją ścieżką (path traversal), co pozwala nadpisać dowolne pliki, w tym /etc/shadow. W połączeniu ze zmianami ustawień debugowania może to prowadzić do nieautoryzowanego dostępu SSH.

W składniku obsługi wolumenów w AWS EFS CSI Driver (aws-efs-csi-driver) przed wersją v3.0.1 występuje niewłaściwe neutralizowanie ograniczników argumentów, co pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami do tworzenia PersistentVolume na wstrzykiwanie dowolnych opcji montowania za pomocą wstrzyknięcia przecinka.

Podatność w Red Magic 11 Pro (NX809J) umożliwia nieuprzywilejowanym aplikacjom wywoływanie wrażliwych operacji. Brak walidacji dostępu do interfejsu usługi pozwala atakującemu zapisywać pliki do określonych partycji i ustawiać zapisywalne właściwości systemowe.

Biblioteka Go spdystream do wersji 0.5.0 włącznie zawiera podatność na wyczerpanie pamięci (out-of-memory) w parserze ramek SPDY/3. Parser nie waliduje kontrolowanych przez atakującego liczników i długości przed alokacją pamięci, co dotyczy trzech ścieżek: liczby wpisów w ramce SETTINGS, liczby nagłówków w parseHeaderValueBlock oraz rozmiarów poszczególnych pól nagłówka. Ponieważ bloki nagłówków SPDY są kompresowane zlib, mały ładunek może zdekompresować się do dużych wartości, powodując awarię z powodu braku pamięci.

Klient LINE dla iOS w wersjach przed 26.3.0 zawiera podatność w przeglądarce wbudowanej, gdzie otwarcie spreparowanej strony internetowej może wielokrotnie wywoływać okna dialogowe na poziomie systemu operacyjnego z powodu niewystarczających zabezpieczeń przy obsłudze dowolnych schematów URL, co może spowodować tymczasową niesprawność urządzenia z iOS.

Podatność typu path traversal w OpenHarness przed commit dd1d235 umożliwia zdalnym użytkownikom bramy z dostępem do czatu odczyt dowolnych plików poprzez podanie sekwencji nawigacji po ścieżce w komendzie /memory show. Atakujący może ominąć walidację katalogu projektu i uzyskać dostęp do wrażliwych plików dostępnych dla procesu OpenHarness.

Podatność CVE-2026-21726 pozwala atakującemu na odczyt plików poprzez wykorzystanie podwójnego kodowania w parametrze namespace w punkcie końcowym Ruler API.

Podatność w funkcji Desktop Agent Cisco Webex Contact Center umożliwiała zdalnemu atakującemu przeprowadzenie ataku cross-site scripting (XSS) bez uwierzytelnienia. Problem wynikał z nieprawidłowego przetwarzania treści HTML i skryptów. Firma Cisco załatała już tę lukę w usłudze, więc klienci nie muszą podejmować żadnych działań.

Podatność w Cisco ISE i Cisco ISE-PIC umożliwia uwierzytelnionemu zdalnie atakującemu przeprowadzenie ataku typu path traversal na system operacyjny i odczyt dowolnych plików. Luka wynika z nieprawidłowej walidacji danych wejściowych użytkownika.

Podatność w interfejsie CLI Cisco Identity Services Engine (ISE) i Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu lokalnemu atakującemu z uprawnieniami administracyjnymi wykonanie wstrzyknięcia poleceń w systemie operacyjnym i podniesienie uprawnień do roota. Problem wynika z niewystarczającej walidacji danych wejściowych użytkownika.

W interfejsie zarządzania sieciowego Cisco Identity Services Engine (ISE) wykryto wiele podatności, które umożliwiają uwierzytelnionemu zdalnemu atakującemu z uprawnieniami administracyjnymi do zapisu przeprowadzenie ataków typu stored XSS lub reflected XSS na użytkownika tego interfejsu. Podatności wynikają z niedostatecznego oczyszczania danych dostarczanych przez użytkownika, które są przechowywane na stronie internetowej.

Podatność na wstrzykiwanie LDAP w bibliotece BC-JAVA bcprov firmy Legion of the Bouncy Castle Inc. występuje we wszystkich modułach prov. Problem dotyczy plików programu LDAPStoreHelper i umożliwia atakującemu manipulację zapytaniami LDAP.

Jellyfin przed wersją 10.11.7 zawiera podatność na odmowę usługi w punkcie końcowym tworzenia grup SyncPlay. Uwierzytelniony użytkownik może tworzyć grupy o nazwach o nieograniczonym rozmiarze, co prowadzi do blokady punktu końcowego i zwiększenia zużycia pamięci, potencjalnie powodując awarię z powodu braku pamięci.

Adobe Framemaker w wersjach 2022.8 i starszych zawiera podatność przepełnienia bufora sterty, która może prowadzić do ujawnienia pamięci. Atakujący może wykorzystać tę podatność do ujawnienia poufnych informacji przechowywanych w pamięci. Wymagana jest interakcja użytkownika – ofiara musi otworzyć złośliwy plik.