Katalog podatności CVE

W alexta69 MeTube wykryto podatność w funkcji DownloadQueue.__write_feed_metadata_sync w pliku app/ytdl.py, związaną z pobieraniem miniatur metadanych kanału. Manipulacja prowadzi do podatności SSRF (server-side request forgery), a atak można zainicjować zdalnie, choć jest on bardzo złożony. Poprawka została wydana w wersji 2026.09.29 (commit a3896604540223ecbb8258b41b1d745d62647d16).

W unslothai unsloth wykryto podatność w funkcji FastSentenceTransformer._is_transformer_module_ref w pliku unsloth/models/sentence_transformer.py. Manipulacja argumentem Type prowadzi do użycia danych kontrolowanych z zewnątrz do wyboru klas lub kodu, a atak można zainicjować zdalnie. Poprawka została wydana w wersji 0.1.902-beta (commit de801746386a53a0cb26216e715a0af863b76ad9).

W bibliotece Tencent ncnn wykryto błąd w funkcji ncnn::yuv420sp2rgb (plik src/mat_pixel.cpp) w komponencie Conversion API. Manipulacja danymi prowadzi do przepełnienia liczb całkowitych (integer overflow). Exploit jest publicznie dostępny i może być wykorzystany zdalnie.

W bibliotece Tencent ncnn zidentyfikowano podatność w funkcji matmul_transb (plik src/layer/matmul.cpp) w komponencie MatMul. Manipulacja prowadzi do odczytu poza granicami bufora (out-of-bounds read). Exploit jest publicznie dostępny i może być wykorzystany zdalnie.

W aplikacji donetick wykryto podatność w funkcji CanDeleteHistory (plik internal/chore/model/model.go) w komponencie History Deletion Handler. Manipulacja argumentem AssignedTo prowadzi do niewłaściwej autoryzacji (improper authorization). Exploit jest publiczny i może być wykorzystany zdalnie.

W openGauss-connector-jdbc w pliku LogFactory.java klasa LogFactory ładuje klasę loggera podaną w parametrach połączenia JDBC za pomocą Class.forName, a następnie bezpośrednio wywołuje konstruktor przyjmujący String i rzutuje wynik na Log. Brak weryfikacji asSubclass(Log.class) powoduje, że klasy niebędące implementacją Log są instancjonowane przed sprawdzeniem typu. Gdy atakujący kontroluje nazwę klasy loggera w URL JDBC lub właściwościach połączenia, a w classpath klienta znajduje się ładowalna klasa, może to wywołać nieoczekiwane ładowanie klas i skutki uboczne konstrukcji.

W dotnet eShop do wersji 913acea66708a59595351174cee9b29f37179d29 wykryto podatność w funkcji AddApplicationServices w pliku src/Catalog.API/Extensions/Extensions.cs komponentu Catalog API. Manipulacja prowadzi do nieprawidłowego uwierzytelniania, a atak można zainicjować zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.

W calcom cal.com i cal.diy zidentyfikowano słabość w funkcji createWebhookProcedure (plik packages/trpc/server/routers/viewer/webhook/util.ts) w komponencie Webhook Handler. Manipulacja argumentem ID może prowadzić do obejścia autoryzacji (authorization bypass). Atak można przeprowadzić zdalnie; pull request z poprawką oczekuje na akceptację.

W diem-project diem do commita 116974edfb9a5b8bd69cb13586dc62bcdbb485ad funkcja dmBaseLinkTag::text w pliku dmCorePlugin/lib/view/html/link/dmBaseLinkTag.php (komponent dmWidget) jest podatna na cross-site scripting poprzez manipulację argumentem text. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny; projekt nie odpowiedział na zgłoszenie.

W openGauss-server w pliku hll.cpp funkcja HllObjectUnpack() ma wadę walidacji długości. Po sparsowaniu lenUsed i lenTotal z dostarczonego przez użytkownika packed HLL sprawdza jedynie, czy długość wejścia pokrywa HLL_HEAD_SIZE + lenUsed, następnie alokuje bufor według lenTotal i kopiuje dane przez memcpy_s() według lenUsed, nie sprawdzając lenTotal >= lenUsed i podając jako rozmiar docelowy lenUsed zamiast lenTotal. Zwykły użytkownik bazy może skonstruować zniekształcony packed HLL (np. przez ::hll do hll_in()) i wywołać przepełnienie sterty po stronie serwera.

W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.8 występuje brak autoryzacji (CWE-862) oraz niezabezpieczona domyślna konfiguracja (CWE-1188) w proxy MCP i przepływie rejestracji OIDC. Publiczne udostępnienie konfiguracji OIDC przez GET /info oraz automatyczna rejestracja każdego posiadacza ważnego tokenu OIDC przez POST /register, bez filtrowania roszczeń i sprawdzania banów, pozwalają zdalnemu atakującemu na samodzielne włączenie się do mesh i wywoływanie dowolnych narzędzi na wszystkich podłączonych węzłach backendu MCP.

W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.2 występuje brak uwierzytelniania dla funkcji krytycznej (CWE-306) oraz brak autoryzacji (CWE-862) w serwerze ingress /libp2p-http. Nieuwierzytelniony zdalny peer libp2p może ominąć egzekwowanie polityki uprawnień Biscuit i wywołać dowolne zarejestrowane usługi backendu, w tym serwery MCP oparte na poleceniach/stdio, A2A i punkty inferencji.

W diem-project diem do commita 116974edfb9a5b8bd69cb13586dc62bcdbb485ad funkcja dmString::random w pliku dmCorePlugin/lib/basic/dmString.php używa kryptograficznie słabego generatora liczb pseudolosowych. Atak można przeprowadzić zdalnie, jest on jednak wysokiej złożoności i trudny do wykorzystania; exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.

W projekcie diem-project diem wykryto podatność w nieznanej części pliku dmCorePlugin/plugins/dmUserPlugin/modules/dmUser/lib/BasedmUserActions.class.php w komponencie Sign-In. Manipulacja argumentem Referer powoduje otwarte przekierowanie (open redirect). Exploit jest publicznie ujawniony i może być wykorzystany zdalnie.

W diem-project diem do commita 116974edfb9a5b8bd69cb13586dc62bcdbb485ad funkcja append w pliku dmAdminPlugin/modules/dmConsole/actions/actions.class.php (komponent Administrative Console) jest podatna na cross-site scripting poprzez manipulację argumentem dm_command. Atak można wykonać zdalnie, a exploit jest publicznie dostępny; projekt nie odpowiedział na zgłoszenie.

W diem-project diem do commita 116974edfb9a5b8bd69cb13586dc62bcdbb485ad funkcja html w pliku dmAdminPlugin/web/js/dmAdminCtrl.js (komponent Version Check Service) jest podatna na cross-site scripting. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny; projekt nie odpowiedział na zgłoszenie.

W komponencie Google Analytics Client projektu diem-project diem wykryto podatność polegającą na nieprawidłowej walidacji certyfikatu. Manipulacja danymi może prowadzić do zaakceptowania nieprawidłowego certyfikatu, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W procesie GeoWebServer.exe występuje podatność związana z domyślnymi portami połączeń serwera webowego.

W procesie GeoWebServer.exe występuje podatność związana z domyślnymi portami połączeń serwera webowego.

W Artifex MuPDF zidentyfikowano podatność w funkcji free_char_list (plik source/pdf/pdf-xref.c) w komponencie Signature Locking. Manipulacja prowadzi do podwójnego zwolnienia pamięci (double free). Exploit jest publiczny i może być wykorzystany zdalnie; dostępna jest poprawka o nazwie 3984925b660afb8a781ddf504021e91be1bc671e.