Katalog podatności CVE

W jądrze Linux sterownik iwlwifi (mld) wywoływał WARN_ON(), gdy zawieszano system z skonfigurowanym WoWLAN bez połączenia z siecią i bez netdetect. Poprawka usuwa ostrzeżenie i pozwala sterownikowi czysto obsłużyć ten przypadek, zwracając 1 w celu rozłączenia i zawieszenia.

W jądrze Linux moduł netfilter nf_conntrack_expect nie zerował struktur oczekiwań przy alokacji, co mogło prowadzić do wycieku niezainicjalizowanych danych do przestrzeni użytkownika przez ctnetlink. Poprawka zeruje pamięć w momencie alokacji.

W jądrze Linux system plików freevxfs wywoływał BUG() przy napotkaniu nieznanego typu extentu w vxfs_bmap_typed(), co prowadziło do awarii jądra. Poprawka zastępuje BUG() przez WARN_ON_ONCE() i zwraca 0, dzięki czemu ioctl(FIBMAP) kończy się czystym błędem.

W jądrze Linux sterownik crypto ccp wywoływał rmp_mark_pages_firmware() z locked=false mimo że funkcja nadrzędna już posiadała sev_cmd_mutex. W przypadku błędu RMPUPDATE ścieżka czyszczenia mogła spowodować zakleszczenie w sev_do_cmd. Poprawka przekazuje locked=true.

W jądrze Linux serwer ksmbd usuwał kanały połączenia z list innych sesji tylko gdy conn->binding było ustawione, co po wyczyszczeniu flagi pozostawiało wiszące kanały wskazujące na zwolnioną strukturę ksmbd_conn. Prowadziło to do use-after-free przy rozłączaniu i wycieku sesji. Poprawka usuwa warunek conn->binding.

Podatność use-after-free w obsłudze klienta HTTP/2 modułu Qt Network (QNetworkAccessManager) pozwala złośliwemu lub przejętemu serwerowi HTTP/2 na spowodowanie awarii aplikacji klienckiej. Wpływa to na dostępność aplikacji.

Wtyczki WordPress Advanced Custom Fields: Extended oraz Advanced Custom Fields: Extended PRO w wersjach od 0.9.2.4 do 0.9.2.7 nie wyłączają konsekwentnie przetwarzania shortcode'ów w komunikacie potwierdzenia formularzy front-endowych. Umożliwia to nieuwierzytelnionym odwiedzającym wykonanie dowolnych shortcode'ów po stronie serwera podczas wysyłania formularza, którego zapisana konfiguracja nie zawiera odpowiedniego ustawienia.

W PraisonAI komponent praisonai.bots.HTTPApproval renderuje argumenty oczekującego zatwierdzenia narzędzia bezpośrednio do HTML panelu zatwierdzeń. Argument narzędzia kontrolowany przez atakującego może wstrzyknąć JavaScript do tej strony. Gdy człowiek otworzy URL zatwierdzenia, skrypt wykona się w origin panelu i może wysłać żądanie POST do endpointu /approve/{request_id}/decide, powodując zwrócenie approved=True.

W PraisonAI ścieżka recipe.run() egzekwuje politykę blokowania domyślnie zabronionych niebezpiecznych narzędzi przez _check_tool_policy(), ale ścieżka strumieniowa recipe.run_stream() ładuje tę samą receptę i wywołuje _execute_recipe() bez tej kontroli. W rezultacie recepta deklarująca execute_command w requires.tools jest odrzucana przez recipe.run(), ale osiąga silnik wykonania przez recipe.run_stream() mimo allow_dangerous_tools=False.

W PraisonAI komponent LinearBot uruchamia publiczny nasłuch webhooków na 0.0.0.0 i traktuje LINEAR_WEBHOOK_SECRET jako opcjonalny. Gdy sekret jest nieobecny, _handle_webhook() całkowicie pomija weryfikację Linear-Signature. Nieuwierzytelniony atakujący sieciowy może wysłać sfałszowane żądanie Linear-Event: AgentSession, które zostanie przetworzone i przekazane do BotSessionManager.chat().

W PraisonAI polecenie praisonai recipe serve kieruje do przestarzałego polecenia Typer, które może uruchomić serwer HTTP Recipe na interfejsie innym niż localhost bez uwierzytelniania. Ponieważ config.auth jest nieobecny, create_app() nie dołącza middleware klucza API ani JWT. Nieuwierzytelnione żądania mogą dotrzeć do API recipe oraz, gdy włączone, do /admin/reload.

W PraisonAI bot Slack stosuje skonfigurowane allowed_users, allowed_channels i politykę unknown-user pairing w normalnym handlerze zdarzeń wiadomości, ale nie w sąsiednim handlerze zdarzeń app_mention. Użytkownik workspace Slack, który może wspomnieć bota w kanale, może wywołać agenta PraisonAI nawet gdy nadawca nie jest na liście dozwolonych, kanał nie jest dozwolony, a unknown_user_policy="deny".

W PraisonAI funkcja Dynamic Context Discovery udostępnia narzędzia pomocnicze artefaktów przez ctx.get_tools(), które nie egzekwują, że podany artifact_path jest artefaktem utworzonym przez skonfigurowany store ani że znajduje się w katalogu bazowym artefaktów. Narzędzia artifact_head, artifact_tail, artifact_grep i artifact_chunk opakowują ścieżkę podaną przez wywołującego w ArtifactRef i odczytują ją z systemu plików hosta. Pozwala to na odczyt plików dostępnych dla procesu PraisonAI, takich jak .env, poświadczenia chmurowe czy klucze SSH.

W PraisonAI moduł Dynamic Context udostępnia magazyny historii i logów terminala oparte na systemie plików oraz fabryki narzędzi wywoływalnych przez agenta. Narzędzia przyjmują argumenty run_id i agent_id od wywołującego, a magazyny łączą te wartości w ścieżki bez odrzucania ścieżek absolutnych ani traversal .. . Ponieważ run_id może być ścieżką absolutną, a agent_id może zawierać traversal, wywołujący o niższym zaufaniu może odczytać pliki .jsonl i .log poza katalogiem bazowym Dynamic Context.

W PraisonAI komponent praisonai.bots.DiscordApproval zatwierdza oczekujące wywołanie niebezpiecznego narzędzia, gdy w skonfigurowanym kanale Discord pojawi się dowolna późniejsza wiadomość niebota zaklasyfikowana jako zatwierdzenie, np. yes. W rezultacie każdy użytkownik mogący pisać w kanale zatwierdzeń może zatwierdzić oczekujące wywołanie narzędzia o wysokim ryzyku, wysyłając yes po pojawieniu się wiadomości zatwierdzającej.

AgenticSeek przed commitem 409840c zawiera podatność na zdalne wykonanie kodu, ponieważ llm_server/app.py na stałe włącza tryb debugowania Flask, jednocześnie nasłuchując na wszystkich interfejsach. Atakujący, który dotrze do portu serwera i uzyska możliwy do wyliczenia PIN debuggera Werkzeug, może wykonać kod Pythona i polecenia systemu operacyjnego z uprawnieniami llm_server.

Aider do wersji 0.86.2 zawiera podatność umożliwiającą wykonanie poleceń powłoki poprzez zatwierdzenie złośliwego pliku .aider.conf.yml, który jest automatycznie ładowany bez pytania o zaufanie. Atakujący może ustawić wartości notifications-command lub editor, które są wykonywane przez subprocess z shell=True po odpowiedziach modelu lub użyciu /editor.

Chatwoot przed wersją 4.17.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym botom agentów na dostęp do innych kont poprzez podanie obcego source_id skrzynki kontaktowej. Atakujący może wywołać endpoint tworzenia konwersacji z source_id innego konta, aby tworzyć lub pobierać konwersacje i publikować wiadomości do kontaktów tego konta.

VLC for Android przed wersją 3.7.2 zawiera podatność nadpisania plików typu confused-deputy w FileUtils.getUri(), która ufa URI zawartości wyłącznie na podstawie uprawnień com.fsck.k9.attachmentprovider lub gmail-ls. Współzainstalowana aplikacja bez uprawnień może zadeklarować te uprawnienia i wysłać spreparowany intent VIEW do eksportowanego StartActivity, zmuszając VLC do zapisania wybranej przez atakującego treści pod wybraną nazwą w współdzielonym katalogu Download, nadpisując pliki innych aplikacji, gdy VLC posiada dostęp do wszystkich plików.

Biblioteka Snap7 w wersji do 1.4.3 zawiera podatność out-of-bounds write w trybie pasywnym. Złośliwy aktywny partner może zadeklarować niezwalidowaną długość całkowitą BSend (do 65535 bajtów) i wysłać krótki fragment, powodując że BRecv wykonuje memcpy poza bufor, co prowadzi do awarii lub uszkodzenia procesów SCADA, HMI lub gateway.