Katalog podatności CVE

Wtyczka AI Engine – The Chatbot, AI Framework & MCP dla WordPress jest podatna na ograniczone usuwanie plików multimedialnych z powodu niewystarczającej walidacji ścieżki pliku w funkcji upload_file we wszystkich wersjach do 3.8.4 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym usuwanie dowolnych plików multimedialnych na serwerze. Wymaga to włączenia opcji Public API przez administratora, a wykorzystanie zależy od uruchomienia godzinowego zadania cleanup_files po złośliwym przesłaniu.

Wtyczka Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin dla WordPress jest podatna na przechowywany cross-site scripting poprzez parametr 'user_url' we wszystkich wersjach do 2.14.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykorzystanie wymaga kliknięcia przez odwiedzającego linku Website URL atakującego na jego publicznym profilu Ultimate Member, co jest trywialnie spełnione, ponieważ handler onclick potwierdzenia przekierowania jest domyślnie włączony we wszystkich nowych instalacjach.

GROWI zawiera podatność obejścia autoryzacji w funkcjonalności przeglądania stron i komentowania z powodu niewłaściwego użycia klucza kontrolowanego przez użytkownika. Wykorzystując tę podatność, uwierzytelniony atakujący może uzyskać zawartość i komentarze stron bez wymaganych uprawnień do odczytu.

C97net qEngine CMS do wersji 6.0.0, Kemana Directory do wersji 1.5.6 i Cart Engine do wersji 3.0.0 zawierają podatność lokalnego włączania plików w parametrze run w admin/task.php. Uwierzytelnieni administratorzy mogą dostarczyć sekwencje przechodzenia katalogów w parametrze run, aby włączyć i ujawnić lokalne pliki czytelne dla serwera WWW.

W produktach C97net qEngine CMS do wersji 6.0.0, Kemana Directory do 1.5.6 oraz Cart Engine do 3.0.0 występuje podatność ujawnienia informacji polegająca na pozostawieniu kopii zapasowych bazy danych w katalogu /admin/backup dostępnym przez WWW. Nieuwierzytelniony atakujący może wylistować katalog lub odgadnąć nazwy plików oparte na dacie (np. 'Full Backup YYYYMMDD.sql') i pobrać zrzuty zawierające rekordy użytkowników oraz hashe haseł administratorów.

Linksys WAG200G do wersji 1.01.06 zawiera podatność przechowywanego XSS, która pozwala uwierzytelnionym atakującym wstrzyknąć skrypty poprzez parametr policy_name w setup.cgi. Atakujący może zapisać złośliwą nazwę polityki na stronie AccessRes.htm, która wykonuje się w przeglądarkach administratorów podczas przeglądania strony Status > Wireless.

Linksys WAG200G do wersji 1.01.06 zawiera słaby mechanizm zmiany hasła, który pozwala atakującym zmienić hasło administratora bez podania aktualnego hasła. Atakujący mający dostęp do uwierzytelnionej sesji przeglądarki administratora może ustawić nowe hasło, blokując legalnego administratora i przejmując trwałą kontrolę nad urządzeniem.

W projekcie a2ui-project a2ui do wersji 0.10.6 funkcja DataContext.dispatchExpressionError w pliku renderers/web_core/src/v0_9/rendering/data-context.ts (komponent Error Handler) ujawnia informacje poprzez komunikaty błędów. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny; poprawka ma nazwę 8f149a1c7b0ce1fa8e93ac3adfa5fda960faeb01.

W projekcie a2ui-project a2ui do wersji 0.10.6 funkcja w pliku renderers/web_core/src/v0_9/rendering/data-context.ts (komponent data-context Resolver) pozwala na zużycie zasobów. Atak można przeprowadzić zdalnie, a publiczny exploit został ujawniony; poprawka ma nazwę eb314e14fabd29cfb4a74e1202afc4fe2081efa2.

W produkcie jeremyckahn Chitchatter do wersji f82538633813c854a81a8b2112a2f6ba17b39cbc wykryto podatność w funkcji isConfigMessageEvent w pliku src/Bootstrap.tsx komponentu PostMessage Handler. Manipulacja argumentem parentDomain prowadzi do niewłaściwego uwierzytelniania, a exploit został publicznie ujawniony i może być wykorzystany. Poprawka nosi nazwę e3babb5cd83bfe3b99f1d82358ac5c1ea8e8a688.

W Thor Vector Graphics (ThorVG) przed wersją 1.0.7 funkcja SfntLoader::gen w tvgSfntLoader.cpp odczytuje dane bez sprawdzenia, czy bufor ma co najmniej 4 bajty, co prowadzi do odczytu poza granicami. Ładowanie zbyt małej czcionki przez API pamięciowe może spowodować awarię aplikacji lub ujawnienie sąsiedniej pamięci sterty.

Protokół weryfikacji intencji WebSub wymaga od subskrybenta odesłania wartości hub.challenge, ale nie wymusza bezpiecznego typu mediów odpowiedzi ani wyłączenia sniffingu MIME. Atakujący może przekierować przeglądarkę ofiary na spreparowane żądanie weryfikacyjne zawierające HTML lub JavaScript, co może prowadzić do wykonania kodu w kontekście subskrybenta.

Klucze prywatne ośmiu certyfikatów pośrednich CA eMudhra zostały skompromitowane, a certyfikaty unieważniono 18 października 2026. CVE-2026-22063 służy do śledzenia zmian w produktach NetApp, a nie do opisu luki w oprogramowaniu.

W a2aproject a2a-js do wersji 1.1.0 funkcja ResultManager.applyStatusUpdate w pliku src/server/result_manager.ts jest podatna na warunek wyścigu. Atak można przeprowadzić zdalnie, a poprawka została wydana w wersji 1.2.0 (commit 7b87c9480bfa643f9d2b2eaf06988b3d3a95de25).

Narzędzie ast_loggrabber w Asterisku wykonuje skrypt Pythona z katalogu /tmp, który jest zapisywalny dla wszystkich. Atakujący posiadający już sesję powłoki na serwerze może umieścić tam złośliwy skrypt i uzyskać podwyższone uprawnienia lub wykonać kod, gdy administrator uruchomi ast_loggrabber z podwyższonymi uprawnieniami.

W dekoderze Codec2 w Asterisku występuje zapis poza granicami bufora powodujący przepełnienie bufora sterty, wywołany niezgodnością liczby próbek floor/ceil. Uwierzytelniony atakujący może wykorzystać tę podatność, wysyłając spreparowane pakiety audio Codec2 w ramach ustanowionej rozmowy.

W bibliotece russh (Rust SSH) od wersji 0.60.0 do 0.65.0 parsowanie otwarcia kanału akceptuje zadeklarowany przez drugą stronę maximum_packet_size równy zero i przekazuje go do ChannelTx::poll_writable. Asynchroniczne ścieżki zapisu pozostają w stanie oczekiwania na zawsze, co pozwala uwierzytelnionemu klientowi zablokować zapisy serwera, a złośliwemu serwerowi — zapisy klienta.

W bibliotece russh przed wersją 0.65.0 ścieżka Session::process_packet w kliencie akceptuje przed uwierzytelnieniem powtarzane pakiety z prywatnym numerem msg::EXT_INFO = 7. Funkcja handle_ext_info dodaje każdą nazwę rozszerzenia do wektora received_extensions bez czyszczenia, deduplikacji ani ograniczenia, co prowadzi do stopniowego wyczerpania pamięci klienta.

W parserze CSS Crass (Ruby) przed wersją 1.0.8 niepoprawnie traktuje nawias zamykający po escapowanym backslashu jako escapowany podczas przetwarzania resztek błędnego URL. Crass zachowuje deklaracje, reguły stylów lub at-rules wewnątrz błędnego tokenu URL, mimo że przeglądarka traktuje je jako aktywny CSS.

W OpenTelemetry Python przed wersją 1.45.0 funkcja JaegerPropagator.extract() w opentelemetry-propagator-jaeger przetwarza przychodzące wartości uberctx-* bez limitów na wpis, bajty na wpis ani łączną liczbę bajtów. Gdy niezaufany nośnik dostarczy wiele lub zbyt duże wartości, usługa wykonuje zbędną pracę CPU i krótkotrwałe alokacje pamięci, przyczyniając się do ataku typu denial of service.