Katalog podatności CVE

Wtyczka Rank Math SEO PRO dla WordPress została dotknięta kompromitacją łańcucha dostaw w części pakietów wersji 3.0.123 pobranych lub zaktualizowanych między 15 października 2026 20:02 UTC a 16 października 2026 07:12 UTC. Zainfekowane pliki zawierały złośliwe oprogramowanie, które mogło przejąć witrynę po aktywacji wtyczki, ustanowić trwały dostęp, komunikować się z rank1cdn[.]com i ujawniać poświadczenia WordPress, bazy danych, klucze API oraz inne sekrety.

W bibliotece aiohttp w wersjach przed 3.14.4 czysty parser Pythona akceptuje niejednoznaczne ramkowanie żądań HTTP. Nieuwierzytelniony atakujący może przemycić żądania, gdy aplikacja działa bez standardowego wheel (np. z AIOHTTP_NO_EXTENSIONS), a pośrednik interpretuje ramkowanie inaczej.

W AIOHTTP przed wersją 3.14.4 subdomena może usunąć zakres Host-Only z istniejącego pliku cookie domeny nadrzędnej. Użytkownik odwiedzający niezaufaną subdomenę może utracić ochronę Host-Only dla plików cookie.

W aiohttp przed 3.14.4 atakujący może wysłać żądanie w formie absolutnej, powodując, że Request.scheme użyje danych schematu z żądania kontrolowanych przez atakującego zamiast protokołu połączenia. Aplikacje używające Request.scheme do decyzji bezpieczeństwa mogą zostać oszukane co do szyfrowania połączenia.

AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. Od wersji 2.0.0 do 3.14.4 przetwarzanie żądań multipart może utrzymywać nieograniczoną liczbę otwartych deskryptorów plików. Nieuwierzytelniony atakujący może wyczerpać deskryptory plików za pomocą specjalnie spreparowanych żądań multipart, gdy handler używa Request.post(). Problem naprawiono w wersji 3.14.4.

W aiohttp przed 3.14.4 przetwarzanie Max-Age może spowodować przepełnienie i pominięcie zamknięcia połączenia. Atakujący może tymczasowo wyczerpać pulę połączeń, dopóki garbage collection nie rozwiąże problemu.

AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. Przed wersją 3.14.4 obsługa limitu czasu keepalive jest nieobecna w początkowej części żądania. Atakujący może utrzymywać bezczynne połączenie otwarte bezterminowo przed wysłaniem jakichkolwiek danych żądania, zużywając pojemność połączeń serwera. Problem naprawiono w wersji 3.14.4.

W aiohttp przed 3.14.4 atrybut Secure dla współdzielonego pliku cookie nie jest wymuszany. Atakujący może spowodować, że współdzielony plik cookie oznaczony jako Secure zostanie wysłany z niezaszyfrowanym żądaniem.

W bibliotece russh przed 0.64.1 serwer agenta tworzy osobne długotrwałe zadanie dla każdego rekordu SSH_AGENT_CONSTRAIN_LIFETIME w żądaniu dodania klucza z ograniczeniami. Pętla akceptuje powtarzające się rekordy, klonuje blob klucza do każdego zadania i nie wycofuje zadań, gdy późniejsze parsowanie ograniczeń zawiedzie, co pozwala atakującemu wyczerpać pamięć i zadania.

W frameworku Mercury od wersji 3.0.0 do 3.2.11 komponent mr.Markdown konwertuje kontrolowany przez atakującego Markdown na HTML bez sanityzacji surowego HTML przed przypisaniem do ipywidgets.HTML. Atrybuty obsługi zdarzeń i inny aktywny HTML mogą trafić do DOM i wykonać się, gdy inny użytkownik wyświetli aplikację.

IBM MQ zawiera podatność wynikającą z niewłaściwej walidacji rozmiarów buforów podczas operacji MQOPEN. Uwierzytelniony atakujący może wykorzystać tę lukę do wywołania odmowy usługi lub uszkodzenia pamięci.

IBM MQ zawiera przepełnienie bufora sterty podczas przetwarzania operacji MQPUT lub MQPUT1 z nieprawidłowymi właściwościami uchwytu komunikatu. Uwierzytelniony atakujący może wywołać odmowę usługi lub potencjalnie wykonać dowolny kod.

IBM MQ zawiera przepełnienie bufora sterty podczas przetwarzania operacji MQPUT z nieprawidłowymi opcjami komunikatu. Uwierzytelniony atakujący może wywołać odmowę usługi lub potencjalnie wykonać dowolny kod.

Użytkownik może przesłać raporty eksportu o dowolnej zawartości i określić dowolne rozszerzenie pliku, w tym JSPX, a następnie każdy może uzyskać dostęp do przesłanego pliku, co prowadzi do wykonania kodu. Podatność na obejście uwierzytelniania może być połączona z tą podatnością, umożliwiając uruchomienie kodu na serwerze bez uwierzytelnienia.

Użytkownik może uzyskać dostęp do szczegółów dowolnej bazy danych, w tym nazw użytkowników i haseł, wysyłając żądanie DWR z określoną regułą workflow. Luka w obejściu uwierzytelniania może być łączona z tą podatnością w celu odczytu bazy danych bez uwierzytelnienia; możliwe są również operacje zapisu i usuwania, choć nie zostało to przetestowane.

Nieuwierzytelniony użytkownik może wysłać żądanie DWR z isPasswordUppercase jako metodą wywołania, a następną metodą może być uruchomienie reguły workflow. Pozwala to na uruchamianie reguł workflow bez uwierzytelnienia.

SENAYAN Library Management System (SLiMS) Bulian (slims9_bulian) 9.8.0 jest podatny na wstrzyknięcie SQL w pliku admin/modules/reporting/customs/dl_detail.php poprzez parametr fileID.

Slims (Senayan Library Management Systems) 9 Bulian 9.8.0 pozwala uwierzytelnionemu pracownikowi na wstrzyknięcie SQL poprzez parametry GET opac_hide i promoted w pliku admin/modules/bibliography/index.php, ponieważ escape_string() jest stosowane, ale wartości są łączone w niecytowanym kontekście numerycznym SQL, co prowadzi do ujawnienia informacji na podstawie błędów i dowolnego wyodrębnienia danych.

PingTools Network Utilities 4.64 zawiera podatność wstrzyknięcia poleceń systemu operacyjnego w polu Host usługi Watcher ICMP. Aplikacja dołącza kontrolowaną przez atakującego wartość Host do polecenia ping, serializuje je jako pojedynczy ciąg i wykonuje przez sh -c. Lokalny atakujący mogący utworzyć lub zmodyfikować usługę Watcher może wstrzyknąć składnię powłoki i wykonać dowolne polecenia z UID aplikacji PingTools i przyznanymi jej uprawnieniami Android.

Konsola zarządzania i pliki produktu ujawniają poufne dane, w tym poświadczenia zdalnego serwera logów, hasła truststore i keystore, w postaci zwykłego tekstu. Dzieje się tak, ponieważ system nie chroni wystarczająco tych poświadczeń, gdy włączona jest funkcja zdalnego logowania.