Katalog podatności CVE

Endpoint /datasources/unauth-datasource nie egzekwuje poprawnie autoryzacji źródeł danych. Uwierzytelniony użytkownik może wywołać ten endpoint, aby uzyskać informacje o źródłach danych, do których nie ma uprawnień. Może to ujawnić konfigurację źródeł danych i inne wrażliwe metadane. Problem dotyczy Apache DolphinScheduler przed wersją 3.4.3.

Quick.Cart jest podatny na Cross-Site Request Forgery w panelu konfiguracyjnym administratora. Złośliwy atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez administratora automatycznie wyśle żądanie POST zmieniające login i hasło administratora. Oprogramowanie implementuje prostą ochronę, ale można ją łatwo obejść manipulując nagłówkiem referer. Wszystkie formularze w tym oprogramowaniu są potencjalnie podatne. Luka została naprawiona w patchu do wersji 6.7 opublikowanym 09.11.2026; instalacje bez tego patcha są nadal podatne.

Sliver C2 framework w wersji 1.7.7 i wcześniejszych zawiera podatność na nieobsłużony panic w handlerze gRPC operatora, która pozwala atakującemu kontrolującemu skompromitowany implant na zniszczenie całego teamservera poprzez zwrócenie nieprawidłowej lub pustej odpowiedzi Download. Atakujący mogą wysyłać puste lub 1-3 bajtowe dane przez wrogą sesję implantu, aby wywołać dostęp poza zakresem w funkcji BinaryMagic w bibliotece Binject, co propaguje się przez łańcuch interceptora gRPC i kończy proces serwera, wpływając na wszystkich podłączonych operatorów.

Awaria dyssektora protokołu X11 w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 umożliwia przeprowadzenie ataku typu odmowa usługi.

Awaria metadyssektora protokołu Frame w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 umożliwia przeprowadzenie ataku typu odmowa usługi.

Nieskończona pętla i wyciek pamięci w dyssektorze protokołu USB HID w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 umożliwia przeprowadzenie ataku typu odmowa usługi.

Awaria parsera plików Toshiba w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 umożliwia przeprowadzenie ataku typu odmowa usługi.

Awaria podczas importu profilu w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 umożliwia przeprowadzenie ataku typu odmowa usługi oraz potencjalne wykonanie kodu.

Nieskończona pętla w dyssektorze protokołu TIFF w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 umożliwia przeprowadzenie ataku typu odmowa usługi.

Awaria dyssektora protokołu RF4CE w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 umożliwia przeprowadzenie ataku typu odmowa usługi.

Dekompozytor protokołu IEEE 802.11 w Wireshark w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 może ulec awarii, co prowadzi do odmowy usługi.

Dekompozytor protokołu Catapult DCT2000 w Wireshark w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 może ulec awarii, co prowadzi do odmowy usługi.

Dekompozytor protokołu IEEE C37.118 Synchrophasor w Wireshark w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 ma wyciek pamięci, co prowadzi do odmowy usługi.

Parser plików Microsoft Network Monitor w Wireshark w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 ma dużą pętlę, co prowadzi do odmowy usługi.

Dekompozytor protokołu CSN.1 w Wireshark w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 może ulec awarii, co prowadzi do odmowy usługi.

Dekompozytor protokołu MBIM w Wireshark w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 może ulec awarii, co prowadzi do odmowy usługi.

Dekompozytor protokołu ZigBee ZCL w Wireshark w wersjach 4.6.0 do 4.6.8 może ulec awarii, co prowadzi do odmowy usługi.

Parser plików PEAK CAN TRC w Wireshark w wersjach 4.6.0 do 4.6.8 może ulec awarii, co prowadzi do odmowy usługi.

Narzędzie Sharkd w Wireshark w wersjach 4.6.0 do 4.6.8 oraz 4.4.0 do 4.4.18 może ulec awarii, co prowadzi do odmowy usługi.

Parser plików TTL w Wireshark w wersjach 4.6.0 do 4.6.8 ma nieskończoną pętlę, co prowadzi do odmowy usługi.