Katalog podatności CVE

Kyverno, silnik polityk dla zespołów inżynieryjnych platform chmurowych, ma krytyczną lukę w autoryzacji w wersjach przed 1.16.3 i 1.15.3. Umożliwia ona użytkownikom z odpowiednimi uprawnieniami do tworzenia polityk w przestrzeni nazw na wykonywanie żądań API Kubernetes z tożsamością kontrolera przyjęć Kyverno, co narusza izolację przestrzeni nazw.

System zarządzania sklepem mobilnym code-projects w wersji 1.0 jest podatny na atak typu SQL Injection w pliku /ExAddNewUser.php. Wrażliwe parametry to Name, Address, email, UserName, Password, confirm_password, Role, Branch oraz Activate.

System zarządzania sklepem mobilnym code-projects w wersji 1.0 jest podatny na atak typu SQL Injection w pliku /ExLogin.php poprzez parametr Password.

System zarządzania sklepem mobilnym code-projects w wersji 1.0 jest podatny na atak typu SQL Injection w pliku /insertmessage.php poprzez parametr userid.

System księgarni komputerowej code-projects w wersji 1.0 jest podatny na atak związany z przesyłaniem plików w pliku admin_add.php. Umożliwia to nieautoryzowanym użytkownikom przesyłanie złośliwych plików na serwer.

Podatność typu 'Type Confusion' w xray-monolith umożliwia dostęp do zasobów przy użyciu niekompatybilnego typu. Problem ten dotyczy wersji xray-monolith przed 30 grudnia 2025 roku.

Podatność CVE-2026-24872 dotyczy niewłaściwej arytmetyki wskaźników w projekcie ProjectSkyfire w wersji SkyFire_548 przed 5.4.8-stable5. Może to prowadzić do nieprzewidzianych zachowań aplikacji.

Podatność polegająca na niewłaściwej kontroli generowania kodu (wstrzykiwanie kodu) w oprogramowaniu Minecraft-Rcon-Manage przed wersją 3.0. Umożliwia atakującemu wstrzyknięcie i wykonanie złośliwego kodu.

W podatności CVE-2026-24832 występuje błąd zapisu poza granicami w ixray-team ixray-1.6-stcop, który dotyczy wersji przed 1.3. Może to prowadzić do nieautoryzowanego dostępu do pamięci.

System zarządzania sklepem mobilnym code-projects w wersji 1.0 jest podatny na atak związany z przesyłaniem plików w pliku /ExAddProduct.php.

xrdp to otwartoźródłowy serwer RDP. W wersjach przed 0.10.5 występuje podatność na przepełnienie bufora na stosie, wynikająca z niewłaściwego sprawdzania granic podczas przetwarzania informacji o domenie użytkownika. W przypadku wykorzystania tej podatności, zdalni atakujący mogą wykonać dowolny kod na docelowym systemie.

Dirsearch w wersji 0.4.1 zawiera podatność na wstrzykiwanie CSV, gdy używana jest flaga --csv-report. Umożliwia to atakującym wstrzykiwanie formuł przez przekierowane punkty końcowe.

Wersje Gila CMS przed 2.0.0 zawierają podatność na zdalne wykonanie kodu, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń systemowych poprzez manipulowane nagłówki HTTP. Atakujący mogą wstrzykiwać kod PHP w nagłówku User-Agent, wykorzystując shell_exec() do uruchamiania poleceń systemowych, wysyłając odpowiednio skonstruowane żądania do punktu końcowego administratora.

VestaCP w wersji 0.9.8-26 zawiera podatność na token sesji w module LoginAs, która pozwala zdalnym atakującym na manipulację tokenami uwierzytelniającymi. Atakujący mogą wykorzystać niewystarczającą walidację tokenów do uzyskania dostępu do kont użytkowników i wykonywania nieautoryzowanych żądań logowania bez odpowiednich uprawnień administracyjnych.

Knockpy w wersji 4.1.1 zawiera podatność na wstrzykiwanie CSV, która pozwala atakującym na wstrzykiwanie złośliwych formuł do raportów CSV poprzez nieprzefiltrowane nagłówki serwera. Atakujący mogą manipulować nagłówkami odpowiedzi serwera, aby zawierały formuły arkusza kalkulacyjnego, które zostaną wykonane po otwarciu CSV w aplikacjach arkuszy kalkulacyjnych.

Easy CD & DVD Cover Creator w wersji 4.13 zawiera podatność na przepełnienie bufora w polu wprowadzania numeru seryjnego, co pozwala atakującym na awarię aplikacji. Atakujący mogą wygenerować 6000-bajtowy ładunek i wkleić go do pola numeru seryjnego, co prowadzi do awarii aplikacji.

W podatności CVE-2026-24830 występuje przepełnienie lub owinięcie liczb całkowitych w systemie Ralim IronOS, które dotyczy wersji przed v2.23-rc2.

Podatność w oprogramowaniu turso3d (projekt cadaver) obejmująca wiele typów błędów: zapis poza zakresem, dzielenie przez zero, dereferencję wskaźnika NULL, użycie niezainicjalizowanych zasobów, odczyt poza zakresem oraz osiągalne asercje.

Wykorzystanie znanych domyślnych poświadczeń w interfejsie administracyjnym EZCast Pro II w wersji 1.17478.146 umożliwia atakującym dostęp do chronionych obszarów aplikacji webowej.

Podatność w X-TRACK (do wersji v2.7) polegająca na zapisie poza zakresem i klasycznym przepełnieniu bufora w module inflate.C (PNGdec). Może prowadzić do uszkodzenia pamięci.