Katalog podatności CVE

Problem use-after-free został rozwiązany przez ulepszone zarządzanie pamięcią. Luka występuje w Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2, macOS Tahoe 26.5.2, tvOS 26.6, visionOS 26.6 i watchOS 26.6. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do nieoczekiwanego awarii procesu.

Problem dostępu poza zakresem został rozwiązany poprzez ulepszone sprawdzanie granic. Luka została naprawiona w Safari 26.5.2, iOS 26.5.2 i iPadOS 26.5.2, macOS Tahoe 26.5.2, visionOS 26.6 oraz watchOS 26.6. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do nieoczekiwanego awarii Safari.

Problem został rozwiązany przez ulepszone zarządzanie pamięcią. Luka występuje w Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2, macOS Tahoe 26.5.2, tvOS 26.6, visionOS 26.6 i watchOS 26.6. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do nieoczekiwanego awarii procesu.

Problem został rozwiązany przez ulepszone zarządzanie pamięcią. Luka występuje w Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2, macOS Tahoe 26.5.2, tvOS 26.6, visionOS 26.6 i watchOS 26.6. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do nieoczekiwanego awarii procesu.

Poprawiono walidację danych wejściowych w systemach Apple. Luka umożliwia aplikacji spowodowanie nieoczekiwanego zakończenia działania systemu lub uszkodzenia pamięci jądra.

Podatność w Alexantr filemanager v.1.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez komponent filemanager.php. Problem wynika z braku odpowiedniego zabezpieczenia przed wstrzykiwaniem kodu.

W Squidex CMS w wersji 7.21.0 i wcześniejszych wykryto podatność na Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać endpoint profilu konta IdentityServer do eskalacji uprawnień bez wiedzy ofiary.

Problem odczytu poza zakresem został rozwiązany przez ulepszone sprawdzanie granic. Luka występuje w Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2, macOS Tahoe 26.5.2, tvOS 26.6, visionOS 26.6 i watchOS 26.6. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do nieoczekiwanego awarii procesu.

Niespójna interpretacja żądań HTTP/2 w AWS Application Load Balancer z włączonym AWS WAF może umożliwić zdalnym atakującym ominięcie inspekcji treści reguł zarządzanych AWS WAF poprzez spreparowane żądania HTTP/2, które fragmentują treść żądania między ramkami, co powoduje inspekcję tylko częściowej treści. Problem dotyczy tylko grup docelowych ALB dla HTTP/2.

Niespójna interpretacja żądań HTTP/2 w Amazon CloudFront z włączoną usługą AWS WAF może umożliwić zdalnym atakującym ominięcie inspekcji treści zarządzanych reguł AWS WAF poprzez wysyłanie spreparowanych żądań HTTP/2, które fragmentują treść żądania między ramkami, tak że inspekcja obejmuje tylko jej część.

Podatność w bibliotece CSS::Minifier::XS dla Perla przed wersją 0.14 powoduje wyciek pamięci podczas minifikacji dokumentu zawierającego tylko znaki do usunięcia, takie jak komentarze i białe znaki.

To zgłoszenie CVE zostało odrzucone. Jest duplikatem rezerwacji CVE-2026-57700 i nie powinno być używane.

Podatność w luci-proto-openvpn do wersji 0.11.1 (załatana w commicie e4ff45e) pozwala na wstrzyknięcie poleceń powłoki w metodzie generateKey ubus. Parametr cl_meta jest interpolowany do polecenia powłoki bez odpowiedniego escapowania, co umożliwia uwierzytelnionemu użytkownikowi LuCI z dostępem do konfiguracji OpenVPN wykonanie dowolnych poleceń jako root przez funkcję popen.

Podatność w luci-app-tailscale-commonspolega na nieprawidłowym cytowaniu parametrów loginserver i loginserver_authkey w metodzie RPC tailscale.do_login, co umożliwia uwierzytelnionym użytkownikom wstrzyknięcie dowolnych poleceń powłoki wykonywanych z uprawnieniami roota.

Podatność w bibliotece mdex i mdex_native pozwala nieuwierzytelnionemu atakującemu na przeprowadzenie ataku DoS poprzez nieograniczoną alokację pamięci. Funkcja parse_highlight_lines w komponencie LumisAdapter rozszerza zakres linii z bloku kodu bez kontroli górnego limitu, co prowadzi do alokacji ogromnych wektorów. Wystarczy przesłać Markdown z zakresem 1-2000000000, aby wyczerpać pamięć hosta i zatrzymać proces BEAM.

W bibliotece MDEx wykryto podatność na ataki XSS (stored i reflected) poprzez nieprawidłową neutralizację danych wejściowych w Markdown. Atakujący może wstrzyknąć dowolny kod HTML/JavaScript, który wykona się w przeglądarce każdego użytkownika wyświetlającego przetworzoną treść.

W bibliotece p11-kit odkryto podatność polegającą na braku ograniczenia głębokości rekurencji w funkcjach przetwarzania atrybutów wiadomości RPC. Atakujący z lokalnym dostępem do gniazda domeny Unix może wysłać specjalnie spreparowane żądanie z głęboko zagnieżdżonymi atrybutami szablonów, co prowadzi do wyczerpania stosu i awarii serwera p11-kit oraz zależnych od niego usług.

Podatność w systemie Hi.Events do wersji 1.9.0 umożliwia nieautoryzowany dostęp do list uczestników poprzez publiczne endpointy list kontrolnych. Wykorzystując jedynie identyfikator short_id, atakujący może odczytać pełne dane uczestników, w tym adresy e-mail i informacje osobiste, a także tworzyć lub usuwać rekordy kontrolne bez uwierzytelnienia.

Podatność w systemie Hi.Events do wersji 1.9.0 umożliwia wielokrotne użycie ograniczonych kodów promocyjnych. Walidacja kodu sprawdza licznik użyć przed jego asynchronicznym zwiększeniem przez zadanie UpdateEventStatisticsJob, co pozwala atakującym na sekwencyjne rezerwowanie wielu zamówień z tym samym kodem, każde z licznikiem użyć równym 0, a następnie realizację wszystkich po obniżonej cenie.

Mixpost do wersji 2.6.0 zawiera odbitą podatność na skrypty między witrynami (XSS), która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach uwierzytelnionych użytkowników poprzez spreparowanie złośliwych adresów URL zwrotnych OAuth z niesanitowanymi parametrami błędu.