Katalog podatności CVE

SimulationCraft to narzędzie do analizy mechaniki walki w World of Warcraft. W kompilacjach po release-820-01 i przed nocną z 7 maja 2026 pętla w `bcp_api.cpp` po tablicy JSON `sockets` używa `slot_data["sockets"].Size()` bez ograniczenia `gem_idx` przez `MAX_GEM_SLOTS` (cztery), co powoduje zapis poza tablicą `gem_id` do sąsiedniego `gem_bonus_id`. Uszkodzenie wskaźnika `_M_start` wektora prowadzi do zwolnienia wskaźnika kontrolowanego przez atakującego w destruktorze `item_t`. Doradztwo zgłasza awarie i wykonanie kodu w środowisku testowym.

FOG to system do klonowania, obrazowania i zarządzania inwentarzem. Przed wersjami 1.5.10.2253 i 1.6.0-RC-1 uwierzytelniony użytkownik API z uType=1 posiadający token API użytkownika i globalny token API FOG może użyć PUT /fog/storagenode/{id}/edit do modyfikacji pól użytkownika, hasła i ftppath węzła Storage Node, ponieważ API nie wymusza roli administratora. Przy włączonej replikacji FOGImageReplicator wstawia te pola do polecenia lftp wykonywanego przez proc_open() przez usługę root, co pozwala na wykonanie poleceń jako root.

USB Test to lekkie narzędzie CLI dla Windows do weryfikacji integralności sektorów i wykrywania zawyżonej pojemności dysków USB. Przed wersją 1.1.5 funkcja getSectorSize() w `USB Test/src/driveinfo.cpp` ufa wartości DISK_GEOMETRY.BytesPerSector zwracanej przez IOCTL_DISK_GET_DRIVE_GEOMETRY bez sprawdzenia powodzenia wywołania i ograniczeń rozmiaru. Wartość jest używana do dzielenia i rozmiaru bufora sterty przed memcpy, więc złośliwe urządzenie USB może zgłosić wartość poniżej ośmiu bajtów powodując powtarzalne zapisy poza zakresem lub zero powodując dzielenie przez zero i denial of service.

GFI KerioConnect Outlook Connector (Offline Edition), 'KOFF', przed 10.0.9 Patch 2 zawiera lukę lokalnej eskalacji uprawnień spowodowaną słabymi uprawnieniami instalatora, które pozostawiają katalog produktu zapisywalny dla wbudowanej grupy Users. Lokalny nieadministracyjny atakujący może zastąpić plik binarny usługi searchd.exe używanym przez KOFFIndexingService działającą jako LocalSystem, aby wykonać dowolny kod z uprawnieniami NT AUTHORITY\SYSTEM przy następnym uruchomieniu usługi lub restarcie.

W serwerze X.org X przed wersją 2.1.25 oraz XWayland przed 24.1.14 występuje przepełnienie bufora sterty spowodowane niezgodnością obliczeń rozmiaru między XkbAllocNames a ChangeKeycodeRange. Uwierzytelnieni klienci X mogą wykorzystać tę lukę do wywołania awarii lub potencjalnego wykonania kodu w kontekście serwera X.

W rozszerzeniu XFIXES serwera X.Org X przed wersją 21.1.25 oraz XWayland przed 24.1.14 występuje przepełnienie bufora podczas obsługi barier wskaźnika. Uwierzytelnieni klienci X mogą wykorzystać tę lukę do wywołania awarii lub potencjalnego wykonania kodu w kontekście serwera X.

W funkcji XkbResizeKeyType() serwera X.org X przed wersją 21.1.25 oraz XWayland przed 24.1.14 występuje problem obcięcia liczby całkowitej, który może prowadzić do przepełnienia bufora sterty. Uwierzytelnieni klienci X mogą wykorzystać tę lukę do wywołania awarii lub potencjalnego wykonania kodu w serwerze X.

Nieograniczona rekurencja w metodzie MessagePack\BufferUnpacker::unpack() w bibliotece rybakit/msgpack w wersjach przed 0.11.0. Atakujący może spowodować wyczerpanie pamięci podczas dekodowania głęboko zagnieżdżonych danych MessagePack.

Przepełnienie liczb całkowitych w komponencie MessagePack\BufferUnpacker biblioteki rybakit/msgpack w wersjach przed 0.11.0. Na 32-bitowym PHP spreparowane dane MessagePack mogą doprowadzić do odmowy usługi.

Przepełnienie bufora sterty w obsłudze żądania GLX RenderLarge, gdzie dataBytes przekracza cmdlen, występuje w X.org X server przed 21.1.25 oraz XWayland przed 24.1.14. Podatność może być wywołana przez uwierzytelnionego klienta X i prowadzić do awarii lub wykonania kodu w kontekście serwera X.

W identrail przed wersją 1.0.2 endpoint GitHub connect/complete akceptuje installation_id bez weryfikacji, czy instalacja należy do przestrzeni roboczej wywołującego. Uwierzytelniony najemca może podać installation_id innego klienta, aby odczytać prywatne repozytoria ofiary lub uruchomić skany postawy, jeśli aplikacja GitHub identrail jest tam zainstalowana.

W @openhop/server przed wersją 0.3.7 nieuwierzytelnione parametry tras GET i DELETE /api/flows/:id są przekazywane do FlowStore.filePath() bez listy dozwolonych identyfikatorów. Po dekodowaniu URI i normalizacji path.join() atakujący może odczytać lub trwale usunąć pliki YAML poza katalogiem przepływów, a CORS origin: true umożliwia atak z dowolnej strony przeglądarki.

W ESPHome Device Builder Dashboard przed wersją 1.0.10 zaufana witryna ingress dodatku Home Assistant nasłuchuje na 0.0.0.0, pomijając uwierzytelnianie dashboardu, a sieć hosta wymagana dla mDNS wystawia ją na interfejs LAN. Dowolne urządzenie w sieci lokalnej może połączyć się bezpośrednio z portem ingress, ominąć supervisor i uzyskać pełny dashboard bez poświadczeń.

W functype-mcp-server przed wersją 1.4.4 narzędzie MCP set_functype_version przyjmuje nieograniczony ciąg version i interpoluje go do functype@<version> dla pnpm add, co pozwala na instalację dowolnego lokalnego lub zdalnego pakietu jako functype. Następnie initDocsData(true) dynamicznie importuje nowo zainstalowany moduł, wykonując kontrolowany przez atakującego JavaScript z uprawnieniami procesu serwera MCP.

W Joker przed wersją 1.8.2 polecenie joker --lint <file> przeszukuje katalogi w górę od lintowanego pliku w poszukiwaniu katalogu .jokerd/ i wykonuje pasujące pliki linter.* przed lintowaniem. Pliki te zawierają wykonywalny kod Joker/Clojure, więc lintowanie pliku w niezaufanym repozytorium może wykonać kod dostarczony przez repozytorium z uprawnieniami użytkownika lintera.

W aplikacji NORA (self-hosted rejestr artefaktów) w wersjach przed 0.9.5 interfejs zarządzania tokenami jest uwierzytelniany, ale nie wymaga uprawnień administratora. Użytkownik z tokenem tylko do odczytu może wylistować metadane tokenów wszystkich użytkowników, a token z prawem zapisu może unieważnić dowolne tokeny administracyjne i serwisowe.

W platformie Xibo w wersjach przed 4.4.3 brakuje kontroli dostępu dla żądań PUT/DELETE /action/{id}, co pozwala uwierzytelnionemu użytkownikowi modyfikować lub usuwać akcje w dowolnym Layoutcie. Standardowe uprawnienia przyznawane użytkownikom niebędącym administratorami wystarczają do wykorzystania podatności.

Wtyczka WordPress Filter Everything — WordPress & WooCommerce Filters w wersjach do 1.9.7 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu (Object Injection).

Wtyczka WordPress Phoenix Media Rename w wersjach do 3.13.5 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu (Object Injection).

W bibliotece bandit (Elixir) w wersjach od 0.3.1 przed 1.14.1 czytnik ciała żądania HTTP/2 nie ogranicza zasobów, co pozwala nieuwierzytelnionemu zdalnemu atakującemu wyczerpać pamięć serwera poprzez ciało żądania wysłane jako wiele ramek DATA o rozmiarze 1 bajta. Podatne są trasy, których Plug odczytuje ciało żądania, w tym trasy za Plug.Parsers.