Katalog podatności CVE

W przeglądarce Safari oraz systemach iOS, iPadOS i macOS Tahoe wykryto problem z uprawnieniami, który został rozwiązany przez dodanie dodatkowych ograniczeń. Odwiedzenie złośliwej strony internetowej może prowadzić do wycieku poufnych danych użytkownika.

Podatność w Safari i systemach Apple umożliwia awarię procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę obsługi pamięci.

W przeglądarce Safari oraz systemach iOS, iPadOS i macOS Tahoe wykryto podatność use-after-free. Problem został rozwiązany poprzez ulepszone zarządzanie pamięcią. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do nieoczekiwanego zakończenia procesu.

Podatność w Safari umożliwia złośliwej stronie internetowej kradzież danych między różnymi źródłami (cross-origin). Problem został rozwiązany poprzez poprawę walidacji danych wejściowych.

W pamięci Safari występuje problem korupcji pamięci, który został naprawiony przez ulepszone zarządzanie pamięcią. Luka została załatana w wersjach Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2 oraz macOS Tahoe 26.5.2. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do nieoczekiwanego zakończenia działania procesu.

Podwójne zwolnienie pamięci w WebKit umożliwia awarię procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Luka została załatana w systemach iOS 26.5.2, iPadOS 26.5.2 oraz macOS Tahoe 26.5.2.

W przeglądarce Safari oraz systemach iOS, iPadOS i macOS Tahoe wykryto podatność use-after-free, która została naprawiona poprzez ulepszone zarządzanie pamięcią. Złośliwe rozszerzenie internetowe może wykorzystać ten błąd do spowodowania nieoczekiwanego awarii procesu.

Podatność w WebKit umożliwia awarię procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę obsługi pamięci w systemach Apple.

W przeglądarce Safari oraz systemach iOS, iPadOS i macOS Tahoe wykryto problem związany z pochodzeniem żądań między różnymi źródłami. Luka została załatana przez ulepszone śledzenie źródeł zabezpieczeń. Przetwarzanie złośliwie spreparowanych treści internetowych może ujawnić poufne informacje użytkownika.

W Safari, iOS, iPadOS i macOS Tahoe wykryto podatność use-after-free, która może prowadzić do nieoczekiwanego zakończenia procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę zarządzania pamięcią.

Podatność umożliwia dostęp poza dozwolony zakres pamięci podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany przez poprawione sprawdzanie granic w przeglądarce Safari.

Podatność w Safari i systemach Apple umożliwia awarię procesu podczas przetwarzania spreparowanych treści webowych. Problem został rozwiązany poprzez poprawę obsługi pamięci.

Podatność w WebKit umożliwia awarię procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę obsługi pamięci. Luka została załatana w Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2 oraz macOS Tahoe 26.5.2.

W Squidex CMS w wersji 7.21.0 i wcześniejszych wykryto podatność na Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać endpoint profilu konta IdentityServer do eskalacji uprawnień bez wiedzy ofiary.

Podatność w Safari i systemach Apple umożliwia dostęp poza zakresem pamięci podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawione sprawdzanie granic w Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2 oraz macOS Tahoe 26.5.2.

Podatność w bibliotece CSS::Minifier::XS dla Perla przed wersją 0.14 powoduje wyciek pamięci podczas minifikacji dokumentu zawierającego tylko znaki do usunięcia, takie jak komentarze i białe znaki.

Podatność w bibliotece mdex i mdex_native pozwala nieuwierzytelnionemu atakującemu na przeprowadzenie ataku DoS poprzez nieograniczoną alokację pamięci. Funkcja parse_highlight_lines w komponencie LumisAdapter rozszerza zakres linii z bloku kodu bez kontroli górnego limitu, co prowadzi do alokacji ogromnych wektorów. Wystarczy przesłać Markdown z zakresem 1-2000000000, aby wyczerpać pamięć hosta i zatrzymać proces BEAM.

Podatność w systemie Hi.Events do wersji 1.9.0 umożliwia nieuwierzytelnionym atakującym dostęp do pełnych list uczestników, w tym adresów e-mail i danych osobowych, poprzez publiczne punkty końcowe list kontrolnych. Wykorzystując znajomość identyfikatora short_id, atakujący może odczytać dane uczestników oraz tworzyć lub usuwać rekordy kontrolne bez autoryzacji.

Podatność w systemie Hi.Events do wersji 1.9.0 umożliwia wielokrotne wykorzystanie ograniczonych kodów promocyjnych. Mechanizm walidacji sprawdza licznik użycia przed asynchronicznym zadaniem aktualizującym stan, co pozwala na sekwencyjne rezerwowanie wielu zamówień z tym samym kodem, każde z licznikiem równym 0.

Mixpost do wersji 2.6.0 zawiera odbitą podatność na skrypty między witrynami (XSS), która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach uwierzytelnionych użytkowników poprzez spreparowanie złośliwych adresów URL zwrotnych OAuth z niesanitowanymi parametrami błędu.