Katalog podatności CVE

Wykryto podatność w luben zstd-jni do wersji 1.5.7-13. Dotyczy funkcji ZstdCompressCtx.loadDict w pliku ZstdCompressCtx.java w komponencie współdzielenia słowników. Manipulacja prowadzi do użycia po zwolnieniu (use after free). Atak może być wykonany zdalnie. Poprawka dostępna w wersji 1.5.7-14.

Wykryto podatność niewystarczającego wygasania sesji w bizwell xClick, co umożliwia obejście uwierzytelniania. Problem dotyczy wersji R2, R3 i R3.1.

Wykryto podatność w Weights & Biases wandb przed wersją 0.29.0, która nie waliduje nazw plików z odpowiedzi serwera w funkcji File.download, co umożliwia ataki typu path traversal. Atakujący kontrolujący backend może dostarczyć nazwy plików z sekwencjami przejść katalogów, aby zapisywać pliki poza zamierzonym katalogiem pobierania, co może prowadzić do wykonania kodu poprzez modyfikację plików startowych powłoki lub ścieżek importu Pythona.

Wykryto podatność w SourceCodester College Notes Gallery Management System 1.0. Dotyczy nieznanej funkcjonalności w pliku /College/login.php. Manipulacja argumentem User prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

GNU libextractor przed wersją 1.15 zawiera podatność przepełnienia bufora opartego na stosie w funkcji process_star_office, która rozmiar zmiennej tablicy na stosie określa na podstawie danych sterowanych przez atakującego ze strumienia OLE2. Atakujący mogą stworzyć złośliwe dokumenty StarOffice, które alokują do 4 MB na stosie, powodując przepełnienie stosu i awarię każdej aplikacji wyodrębniającej metadane z dokumentu.

Flextype CMS do wersji 1.0.0-alpha.3 nie waliduje poprawnie parametrów id i new_id w API REST Entries, co umożliwia posiadaczom tokenów API odczyt, tworzenie lub nadpisywanie plików poza katalogiem wpisów. Atakujący mogą użyć sekwencji przejść w żądaniach API, aby wydostać się poza katalog wpisów i manipulować dowolnymi plikami i katalogami w systemie plików.

Wykryto podatność w PHPGurukul Daily Expense Tracker System 1.1. Dotyczy nieznanej funkcji w pliku /dets/forgot-password.php. Manipulacja argumentem email/contactno prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wykryto podatność w PHPGurukul Daily Expense Tracker System 1.1. Dotyczy ona nieznanego kodu w pliku /dets/index.php w komponencie Login. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w SabyasachiRana WebMap do wersji 8b95fe4dc301a3c09ddf145b895de0bf9f8d2a25. Dotyczy ona funkcji nmap_newscan w pliku functions_nmap.py w komponencie New Nmap Scan Handler. Manipulacja argumentami target/params prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Dostępna jest poprawka (3d52f65803a2716bff14d938352c6fef45b0cfb6).

Wykryto podatność w PHPGurukul Blood Donor Management System 1.0. Dotyczy ona nieznanej funkcjonalności w pliku /application/controllers/admin/Report.php w komponencie Report Endpoint. Manipulacja argumentami fromdate/todate prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w PHPGurukul Blood Donor Management System 1.0. Dotyczy ona funkcji __construct w pliku /application/controllers/admin/Dashboard.php w komponencie Admin Controllers. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

DevSpace do wersji 6.3.21 nie odrzuca segmentów katalogów nadrzędnych w nazwach wpisów tar ze strumienia synchronizacji w pod. Atakujący kontrolujący złośliwy kontener mogą przesyłać wpisy tar z sekwencjami przejść do katalogów nadrzędnych, aby zapisywać dowolne pliki na stacji roboczej dewelopera, umożliwiając wykonanie kodu.

Activiti do wersji 7.1.0.M6 nie waliduje wyrażeń odroczonych z hash-brace w zmiennych procesu, co pozwala atakującym ominąć filtrowanie wyrażeń. Atakujący mogą wstrzykiwać wyrażenia zaczynające się od #{, które są przechowywane i później oceniane w pełnym kontekście Springa, gdy zadanie pocztowe używa pól treści opartych na zmiennych, umożliwiając wywoływanie metod na beanach aplikacji.

ZFile do wersji 5.0.5 nie waliduje żądanych ścieżek plików względem dozwolonych wpisów linku udostępniania w punkcie końcowym pobierania. Atakujący posiadający link udostępniania mogą podać dowolne ścieżki plików jako parametry zapytania, aby pobrać dowolny plik w udostępnionym katalogu bazowym, omijając zamierzone ograniczenia dostępu.

goproxy do wersji 15.3 nie stosuje podstawowego uwierzytelniania HTTP proxy do żądań tunelowania CONNECT, co pozwala nieuwierzytelnionym klientom ominąć wymagania dotyczące poświadczeń. Atakujący mogą wysyłać żądania CONNECT, aby ustanowić tunele przez uwierzytelnione proxy bez podawania poświadczeń, umożliwiając przekazywanie dowolnego ruchu TCP i dostęp do ograniczonych miejsc docelowych.

IBM Business Automation Workflow (kontenery i wersja tradycyjna) jest podatny na atak XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia poufnych informacji lub zużycia zasobów pamięci.

Brak uwierzytelnienia dla krytycznej funkcji (CWE-306) w procedurze obsługi wyszukiwania sesji checkout (src/app/api/stripe/checkout_sessions/route.ts), udostępnionej pod adresem GET /api/stripe/checkout_sessions, w MarcosCamara01 Ecommerce Template przed commit 91e273c, pozwala zdalnemu, nieuwierzytelnionemu atakującemu posiadającemu ważny identyfikator sesji Stripe Checkout (cs_...) na pobranie pełnego obiektu sesji, w tym imienia i nazwiska kupującego, adresu e-mail, telefonu, adresu rozliczeniowego, zapłaconej kwoty i wewnętrznego identyfikatora userId, ponieważ procedura GET wywołuje stripe.checkout.sessions.retrieve() i zwraca wynik bez sprawdzania uwierzytelnionej sesji lub własności sesji. Identyfikator sesji jest ujawniany w adresie URL przeglądarki kupującego po płatności (success_url = /result?session_id={CHECKOUT_SESSION_ID}), więc wycieka przez nagłówki Referer, narzędzia analityczne, logi dostępu serwera i historię przeglądarki na współdzielonych maszynach, co prowadzi do ujawnienia danych osobowych kupującego nieuwierzytelnionemu aktorowi.

Zidentyfikowano słabość w a2aproject a2a-java 1.2.0. Dotkniętym elementem jest funkcja BasePushNotificationSender.dispatchNotification w pliku server-common/src/main/java/org/a2aproject/sdk/server/tasks/BasePushNotificationSender.java komponentu Authorization Header Construction. Ta manipulacja powoduje rozdzielenie odpowiedzi HTTP (http response splitting). Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0 jest wystarczająca, aby naprawić ten problem. Nazwa poprawki: 247a655043f145f6f8e3853724b6a543eaa02001. Należy zaktualizować dotknięty komponent.

Problem z uprawnieniami został rozwiązany poprzez dodatkowe ograniczenia. Problem został naprawiony w macOS Golden Gate 27, macOS Sequoia 15.8 i macOS Tahoe 26.7. Aplikacja może być w stanie uzyskać uprawnienia roota.

Problem z prywatnością został rozwiązany poprzez ulepszone zarządzanie stanem. Luka występuje w systemach iOS 26.7, iPadOS 26.7, iOS 27, iPadOS 27 oraz watchOS 27. Aplikacja może śledzić użytkowników w aplikacjach i witrynach bez zgody.