Katalog podatności CVE

Biblioteka imagecodecs w wersjach od 2026.3.6 do 2026.10.10 zawiera podatność na nieskończoną pętlę w funkcji ccitt_fax4_decode_size(). Atakujący może dostarczyć spreparowany strumień CCITT Group 4 bez znacznika EOFB, co powoduje zawieszenie procesu i pełne zużycie CPU.

OpenAlgo w wersjach od 1.0.0.29 przed 2.0.3.1 zawiera podatność na nieprawidłową walidację certyfikatów w plikach utils/email_utils.py i utils/email_debug.py, która wyłącza sprawdzanie nazwy hosta i certyfikatu TLS dla STARTTLS i SMTPS. Atakujący w pozycji sieciowej może przedstawić sfałszowany certyfikat i przechwycić dane logowania SMTP oraz całą późniejszą pocztę.

Thelia Back-office Default Twig Template przed wersją 1.1.1 zawiera podatność CSRF w trasach /admin/product/combinations/update i /admin/product/default-price/update, które przyjmują żądania GET bez sprawdzania tokenu anty-CSRF. Atakujący może nakłonić zalogowanego administratora do kliknięcia spreparowanego linku, co zmieni ceny, stany magazynowe, wagę, EAN i flagi sprzedaży kombinacji produktów.

Thelia przed wersją 3.1.1 zawiera podatność na przechowywany XSS, która pozwala uwierzytelnionym administratorom back-office z uprawnieniem do aktualizacji sklepu wstrzykiwać skrypty przez przesyłanie nieoczyszczonych obrazów SVG logo_file lub banner_file. Złośliwy SVG z ładunkiem onload może być serwowany z /admin/store-media/logo lub publicznego katalogu cache/images/store/ i wykonywać skrypty wobec odwiedzających i administratorów z wyższymi uprawnieniami.

FFmpeg w wersjach od 2.3 do 9.0.2 zawiera podatność na użycie niezainicjowanego zasobu w dekoderze Huffyuv, która pozwala ujawnić pamięć sterty w zdekodowanych pikselach przez krótkie strumienie bitowe packed-BGR. Złośliwy plik wideo Huffyuv BGR24/BGRA może spowodować dodanie niezainicjowanych bajtów s->temp[0] do klatek wyjściowych.

FFmpeg w wersjach od 4.4 do 9.0.2 zawiera podatność na użycie niezainicjowanej zmiennej w dekoderze CDXL, która ujawnia pamięć stosu w zdekodowanych pikselach przez niewypełnione wpisy palety HAM. Złośliwy plik CDXL typu 0 może spowodować ujawnienie bajtów stosu i fragmentów wskaźników w wyjściu BGR24.

FFmpeg w wersjach od 0.10 do 9.0.2 zawiera podatność na użycie niezainicjowanego zasobu w funkcji sunrast_decode_frame(), która ujawnia pamięć sterty podczas dekodowania obciętych obrazów Sun Raster z paletą 1-bitową i 4-bitową. Złośliwy obcięty plik Sun Raster może spowodować rozszerzenie nieoczyszczonej mapy bitowej do pikseli PAL8 i ujawnienie pozostałości pamięci sterty.

FFmpeg w wersjach od 2.1 do 9.0.2 zawiera podatność polegającą na użyciu niezainicjalizowanego zasobu w dekoderze PCX. Atakujący może spreparować obraz PCX, którego dane RLE kończą się zbyt wcześnie, powodując kopiowanie niezainicjalizowanej zawartości bufora av_malloc() do widocznych pikseli.

FFmpeg w wersjach od 2.0 do 9.0.2 zawiera podatność polegającą na użyciu niezainicjalizowanej zmiennej w dekoderze Go2Meeting. Atakujący może spreparować strumień G2M3/G2M4 z krótką paletą Kempf, powodując kopiowanie niezainicjalizowanych bajtów stosu, w tym wskaźników lub strażników stosu, do zdekodowanego wyjścia.

W produkcie Presenton w wersjach do 0.9.11-beta wykryto słabość w nieokreślonej funkcjonalności komponentu API, polegającą na braku uwierzytelniania. Atak można zainicjować zdalnie, a exploit został publicznie udostępniony. Aktualizacja do wersji 0.9.12-beta rozwiązuje problem.

W PostyBirb Plus do wersji 3.1.75 wykryto lukę w zabezpieczeniach w nieznanej funkcjonalności pliku ui/src/views/submissions/submission-forms/form-components/DescriptionInput.tsx komponentu Submission Description Editor. Manipulacja prowadzi do cross site scripting, a atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany.

W urządzeniu D-Link DIR-505 w wersji 1.10B02 wykryto podatność w funkcji save_upload_file/mp_upload_file w pliku /usr/bin/tftpd, obsługującej nazwy plików przesyłanych przez TFTP. Manipulacja danymi wejściowymi prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystywany.

XS::libbrotli w wersjach przed 1.2.1.0 dla Perla dołącza bibliotekę brotli z błędem zapisu poza granice bufora w dekoderze. Dołączona kopia (1.0.7 lub 1.1.0) zawiera podatność opisaną w CVE-2026-111497, a dekoder jest osiągalny przez moduły zależne dekompresujące niezaufane dane.

W YznCMS do wersji 2.2.0 wykryto lukę w zabezpieczeniach w funkcji Backend pliku app/admin/controller/auth/Group.php (komponent Auth Group Handler). Manipulacja danymi prowadzi do niewłaściwego zarządzania uprawnieniami. Atak można zainicjować zdalnie, a aktualizacja do wersji 2.2.1 usuwa problem.

W bibliotekach Java Apache Thrift występuje podatność niekontrolowanej rekurencji. Problem dotyczy wersji Apache Thrift wcześniejszych niż 0.24.0. Został naprawiony w wersji 0.24.0.

Klasa JavaNativeMessageDecoder w module codec Apache MINA 3.0 wywołuje ObjectInputStream.readObject() na bajtach ramki bez filtra klas. Aplikacja używająca tego dekodera w komunikacji z niezaufanym peerem jest narażona na zdalne wykonanie kodu poprzez łańcuchy gadgetów. Gałąź 3.0.0 jest nieaktywna i nie zostanie dla niej wydana poprawka.

Podatność CVE-2026-118147 dotyczy nieprawidłowej walidacji certyfikatów w Visual Studio. Nieuwierzytelniony atakujący może wykorzystać tę lukę do przeprowadzenia ataku typu spoofing w sieci.

FFmpeg w wersjach od 5.0 do 9.0.2 zawiera podatność path traversal w demukserze IMF, która pozwala atakującym otwierać pliki poza pakietem poprzez niezwalidowane elementy Path w ASSETMAP. Atakujący może dostarczyć spreparowany pakiet IMF ze ścieżkami '..' lub bezwzględnymi, aby demuksować lokalne pliki MXF, sprawdzać istnienie i rozmiar plików lub wywoływać żądania po stronie serwera.

AJ-Report do wersji 1.7.1 podpisuje tokeny udostępniania przy użyciu zaszytego na stałe sekretu JWT, co pozwala atakującym na offline sfałszowanie ważnych Share-Tokenów. Atakujący może wygenerować token z reportCode 'dataSet', aby uzyskać dostęp do endpointu testTransform, który przekazuje skrypty do GroovyClassLoader i umożliwia nieuwierzytelnione zdalne wykonanie kodu.

libheif w wersji 1.18.0 przed 1.23.3 zawiera podatność przepełnienia bufora opartego na stercie w funkcji unc_decoder_mixed_interleave::processTile(), która pozwala atakującym na zapis poza granicami bufora poprzez dostarczenie komponentów chrominancji o nierównych głębiach bitowych. Atakujący może spreparować plik HEIF deklarujący np. 16-bitowy Cb i 8-bitowy Cr, aby wywołać kontrolowane przez plik zapisy sterty poza płaszczyzną Cr, potencjalnie osiągając wykonanie kodu w potokach przetwarzania obrazów.