Katalog podatności CVE

W NASA cFS do wersji 7.0.1 wykryto podatność w funkcji CFE_FS_ParseInputFileNameEx w pliku cfe/modules/fs/fsw/src/cfe_fs_api.c. Manipulacja danymi powoduje odczyt poza granicami bufora, a atak można przeprowadzić zdalnie. Poprawka oczekuje na zatwierdzenie w pull request.

Cockpit CMS w wersji od 2.12.0 do 2.14.1 wyłącza weryfikację certyfikatu TLS w żądaniu restartu workera web w pliku cron.php. Atakujący w sieci może przechwycić token workera, a atakujący typu man-in-the-middle na ścieżce wychodzącej do site_url może przedstawić dowolny certyfikat, aby ukraść wartość worker/web/token i uruchomić workera web.

Zitadel przed wersją 4.16.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która umożliwia atakującym zmuszenie serwera do wysyłania żądań do wewnętrznych zasobów poprzez weryfikację domen organizacji. Pobieranie wyzwania używa domyślnego http.Get zamiast chronionego klienta, więc atakujący mogą rejestrować domeny przekierowujące na adresy loopback, wewnętrzne lub metadane chmury, aby skanować porty i mapować sieć wewnętrzną.

W YzmCMS do wersji 7.6 zidentyfikowano słabość w funkcji Password w pliku /common/function/system.func.php komponentu MD5 Handler. Manipulacja argumentem pass może prowadzić do utworzenia hasha hasła z niewystarczającym nakładem obliczeniowym. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością i trudnością wykorzystania. Exploit został publicznie udostępniony i może być użyty do ataków.

Wtyczka WordPress Simple Shopping Cart przed wersją 5.2.6 nie escapuje niektórych wartości pól ustawień przed wyświetleniem ich na stronie ustawień administratora. Pozwala to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzenie ataku Stored XSS, co jest szczególnie istotne w instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html.

W Omega Solution CoinEx Crypto 2025 zidentyfikowano słabość w nieznanej funkcjonalności pliku /user/ticket w komponencie Ticket Attachment Upload. Manipulacja powoduje cross site scripting. Atak jest możliwy zdalnie, a exploit został publicznie udostępniony i może być wykorzystany. Strona produktu już nie istnieje, prawdopodobnie produkt został wycofany lub zastąpiony, a dostawca nie odpowiedział na zgłoszenie.

LaraDashboard od wersji 1.4.0 do 1.4.8 zawiera podatność typu race condition w RegisterController::register, która pozwala nieuwierzytelnionym atakującym obejść dzienny limit rejestracji na IP. Atakujący mogą wysłać wiele równoczesnych żądań rejestracji z jednego IP, tak aby wszystkie przeszły RegistrationGuardService::hasExceededIpLimit przed wykonaniem recordRegistration, tworząc konta masowo i obchodząc mechanizmy antyautomatyzacyjne.

LaraDashboard przed wersją 1.4.8 zawiera podatność typu path traversal, która pozwala nieuwierzytelnionym atakującym odczytywać pliki JSON poprzez manipulację segmentem trasy {lang}. Na hostach Windows atakujący mogą wysyłać sekwencje zakodowane w URL, takie jak ..%5C, aby wyjść poza resources/lang i odczytać composer.json lub inne pliki JSON aplikacji.

Wtyczka WordPress Pie Register w wersji przed 3.8.4.14 nie ogranicza dostępu do raportu kodów zaproszeń. Nieuwierzytelniony gość znający prawidłowy kod zaproszenia może uzyskać nazwy użytkowników i adresy e-mail wszystkich osób, które zarejestrowały się z tym kodem.

Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do pliku debugowania, który zapisuje w katalogu głównym serwisu przy każdej wysyłce formularza, gdy włączona jest integracja z HubSpot Forms. Pozwala to nieuwierzytelnionym atakującym na odczyt danych odpowiedzi API, w tym identyfikatorów korelacji i ciasteczek.

Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nie używa sekretu specyficznego dla witryny przy wyznaczaniu lokalizacji logów importu zapisywanych w katalogu uploads, ani nie blokuje do nich bezpośredniego dostępu. Umożliwia to nieuwierzytelnionym atakującym pobranie danych osobowych użytkowników zaimportowanych z pliku CSV.

Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nieprawidłowo waliduje typy plików w przesyłanym archiwum ani nie sanityzuje ich zawartości przed zapisaniem w publicznie dostępnej lokalizacji. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataku Stored Cross-Site Scripting.

ImageMagick przed wersją 7.1.2-32 i 6.9.13-57 zawiera podatność obejścia polityki w LoadPolicyCache, która po cichu pomija reguły polityki bezpieczeństwa, gdy policy.xml używa alternatywnego DOCTYPE. Prawidłowy DOCTYPE niekończący się na ']>' powoduje, że parser konsumuje resztę pliku, więc żadne reguły polityki nie są stosowane, a ograniczone operacje stają się dozwolone.

Denuvo Anti-Tamper do 2026-03-04 pozwala na obejście sprawdzania obecności hiperwizora poprzez przechwytywanie CPUID (SimpleSvm.sys na AMD; hyperkd.sys i hyperhv.dll na Intel).

MathWorks Simulink przed wersją R2026b, podczas wyświetlania spreparowanego pliku .slx, może zawierać bloki, które nigdy nie są widoczne w edytorze Simulink, ale powodują wykonanie kodu.

Trivy przed wersją 0.71.0 pozwala na directory traversal w funkcjach systemu plików Terraform, gdy próbują one uzyskać dostęp do ścieżek powyżej katalogu głównego skanowania. Ryzyko występuje przy skanowaniu misconf na niezaufanym wejściu (np. w pull requeście strony trzeciej zawierającym konfigurację Terraform), jeśli wrażliwe dane znajdują się pod tymi niezamierzonymi ścieżkami.

Wasmtime to środowisko uruchomieniowe dla WebAssembly. Od wersji 46.0.0 do 46.0.2 i 47.0.3 sprawdzenia preempcji fuel i epoch wewnątrz operacji zbiorczych, w tym memory.copy, table.grow i array.copy, mogą ujawnić nieprawidłowy stan pośredni, gdy embedder modyfikuje Store w Store::epoch_deadline_callback lub kontynuuje używanie Store po anulowaniu lub trapie. Może to skutkować awarią, nieprawidłowym dostępem do pamięci lub uszkodzeniem sterty GC.

Wtyczka Booking Calendar firmy WPdevelop zawiera podatność polegającą na współbieżnym wykonywaniu z użyciem współdzielonego zasobu bez odpowiedniej synchronizacji (wyścig), umożliwiającą wykorzystanie warunków wyścigu. Problem dotyczy wersji Booking Calendar od n/a do 11.8.4.

Zebra przed wersją 4.5.0 zawiera podatność niekontrolowanego zużycia zasobów, która pozwala zdalnym rówieśnikom P2P wyczerpać wątki puli blokującej poprzez wysyłanie nadmiernie dużych wektorów lokalizatorów bloków. Atakujący mogą wysyłać wiadomości getblocks lub getheaders z maksymalnie 65 535 haszami lokalizatorów, co powoduje wyszukiwania łańcucha dla każdego hasza i pogarsza wydajność walidacji bloków, RPC i mempool.

Zebra przed wersją 6.1.0 zawiera podatność nieprawidłowego obliczenia w selektorze szablonów bloków ZIP-317, która pomija rozmiar nagłówka i liczbę transakcji z budżetu bloku. Atakujący mogą umieścić ważne wybieralne transakcje w mempool ofiary-górnika, aby ukształtować szablony w nadmiernie duże bloki, co powoduje odrzucenie i marnowanie pracy proof-of-work.