Katalog podatności CVE

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 @zuke/core uruchamia rozwiązane shimy Windows .cmd i .bat, poprzedzając je cmd /c, co powoduje ponowne parsowanie wiersza poleceń przez cmd.exe zgodnie z regułami cytowania C-runtime. Budowanie na Windows, które rozwiązuje narzędzie z node_modules/.bin i przekazuje tekst pod wpływem atakującego zawierający niecytowany znak &, | lub ^, może wykonać dodatkowe polecenie wybrane przez atakującego w kontekście budowania z dostępem do jego poświadczeń.

Zuke to system automatyzacji budowania dla Deno. Przed wersją 1.51.0 tryb rejestru MCP @zuke/core akceptuje deskryptory rejestru w formie poleceń bez stosowania autoryzacji ZUKE_REGISTRY_LAUNCH_HOSTS wymaganej dla zdalnych deskryptorów modułów. Gdy zuke mcp --registry --allow-run czyta rejestr zapisywalny przez inną stronę, a wywołujący z uprawnieniami uruchamiania wywoła dotknięte narzędzie, piszący do rejestru może wybrać program i argumenty wykonywane ze środowiskiem i dostępem do obszaru roboczego operatora.

Serwer zarządzania WWW urządzenia Tenda W18E jest podatny na wstrzyknięcie poleceń systemu operacyjnego poprzez funkcję przechwytywania pakietów "diagnose" z powodu niewłaściwej walidacji pól JSON. Uwierzytelniony użytkownik może wstrzyknąć metaznaki powłoki do pól protocol lub targetDevice, które są następnie łączone w polecenie tcpdump i wykonywane z uprawnieniami roota. Podatność można wykorzystać bez uwierzytelnienia, jeśli urządzenie jest w stanie przywrócenia ustawień fabrycznych.

Problem w punkcie końcowym GraphQL serwera traggo w wersji 0.8.3 pozwala atakującym wywołać odmowę usługi (DoS) poprzez spreparowane żądanie POST do punktu końcowego GraphQL.

Podatność typu path traversal w komponencie FeaturedImage w astro-notion-blog 0.13.0 pozwala atakującym wyjść poza zamierzony katalog oraz odczytywać i nadpisywać pliki na serwerze poprzez spreparowany adres URL.

Uwierzytelniona podatność cross-site scripting (XSS) w komponencie /spina/embeddable.rb w Spina CMS v2.21.0 pozwala atakującym wykonać dowolne skrypty internetowe lub HTML poprzez wstrzyknięcie spreparowanego adresu URL.

Wtyczka Webba Booking (webba-booking-lite) zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 6.5.4 włącznie.

RTIR rozszerza mechanizm oczyszczania HTML w RT, aby dopuszczać wewnętrzny placeholder linku, i przepuszcza każdy link zawierający ten placeholder, w tym linki z wykonywalnym schematem javascript:. Zmiana dotyczy całej instancji RT po zainstalowaniu RTIR, nie tylko kolejek RTIR. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki Incident Reports, domyślnie otwartej dla wszystkich — może zapisać taki link, a skrypt uruchamia się w sesji użytkownika klikającego link. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

Formularze tworzenia zgłoszeń w RTIR pokazują temat powiązanego zgłoszenia podczas dzielenia zgłoszenia lub tworzenia incydentu z raportu, renderując ten temat bez escapowania HTML. Temat zawierający skrypt uruchamia go, gdy użytkownik otworzy formularz. RTIR domyślnie przyznaje wszystkim prawo tworzenia Incident Reports, więc nieuwierzytelniony nadawca e-maila może ustawić taki temat, a skrypt działa w sesji osoby obsługującej incydent. Podatność naprawiono w wersji 6.0.4; RTIR 5.0 nie jest podatny.

Automatyczne tworzenie linków do adresów URL w treści HTML zgłoszeń w RT nie escapuje HTML adresu URL umieszczanego w linku. Adres URL skonstruowany tak, aby wyłamać się z adresu linku, może dodać skrypt uruchamiany przy wyświetlaniu historii zgłoszenia bez dodatkowej akcji przeglądającego. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki przyznającej CreateTicket lub ReplyToTicket dla Everyone — może to wykorzystać. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

W SUSE Rancher Fleet wykryto lukę w przepływie rejestracji klastra w wersjach przed 0.12, 0.13.0 do 0.13.17, 0.14.0 do 0.14.12, 0.15.0 do 0.15.17 oraz 0.16.0 do 0.16.3. Tożsamość klastra zgłoszona w żądaniu rejestracji była akceptowana bez powiązania z tokenem rejestracyjnym, z którym żądanie zostało wykonane. W rezultacie żądanie rejestracji mogło zostać powiązane z klastrem zarządzanym pierwotnie zarejestrowanym innym tokenem.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność na dostęp do pamięci poza granicami w pluginie importsvm, który nie weryfikuje zgodności wymiarów bitmapy i maski przezroczystości. Atakujący może dostarczyć spreparowany plik SVM z niezgodnymi wymiarami maski, wywołując odczyty i zapisy sterty, powodując awarię lub wykonanie kodu jako użytkownik.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera przepełnienie bufora na stercie w loaderze obrazów Mac PICT i pluginie importu podczas rozpakowywania 4-bitowych danych pikseli indeksowanych. Atakujący może dostarczyć spreparowany plik PICT z niespójną szerokością i danymi wiersza, co przy umieszczeniu lub imporcie powoduje zapis poza granicami bufora, prowadząc do awarii lub wykonania kodu.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność na zapis poza granicami w pluginie importdrw Micrografx Draw, który używa niezwalidowanego przesunięcia y do wyboru linii obrazu. Atakujący może spreparować plik DRW, który przy imporcie przez użytkownika zapisuje zdekodowane dane bitmapy poza buforem obrazu na stercie, powodując awarię lub wykonanie kodu.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera przepełnienie liczbowe w loaderze TIFF scimgdataloader_tiff, umożliwiające wywołanie przepełnienia sterty poprzez spreparowane wymiary kafelków. Atakujący może dostarczyć kafelkowy plik TIFF z dużymi wartościami szerokości, wysokości i próbek, co przy imporcie przez użytkownika uszkadza pamięć sterty, powodując awarię Scribusa lub wykonanie kodu.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność polegającą na odczycie poza granicami bufora w loaderze obrazów Mac PICT i wtyczce importu podczas dekodowania danych pikseli planar. Atakujący może dostarczyć spreparowany plik PICT ze zmienionymi wymiarami, powodując nadmierny odczyt sterty prowadzący do awarii lub ujawnienia pamięci sterty.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera przepełnienie bufora na stercie w loaderze obrazów PICT i pluginie importu, umożliwiające uszkodzenie pamięci sterty poprzez niekontrolowaną wartość bytesPerLine. Atakujący może spreparować plik PICT, w którym bytesPerLine przekracza rozmiar linii obrazu QImage, co przy umieszczeniu lub imporcie powoduje awarię Scribusa i potencjalne wykonanie kodu jako użytkownik.

Scribus w wersjach przed 1.6.7 oraz 1.7.x przed 1.7.4 zawiera podatność na zapis poza granicami sterty w loaderze scimgdataloader_psd, który używa niekontrolowanych wartości z pliku PSD jako indeksów tablicy wyszukiwania. Atakujący może nakłonić użytkownika do umieszczenia lub importu spreparowanego pliku PSD, co uszkadza pamięć sterty, powodując awarie i potencjalne wykonanie kodu jako użytkownik.

Podatność deserializacji niezaufanych danych w zadaniu SubWorkflow w Google Cloud Application Integration (wersje przed 2026-09-11) pozwala uwierzytelnionemu atakującemu na wykonanie dowolnego kodu przy użyciu spreparowanego obiektu serializowanego. Podatność została załatana 11 września 2026 r.

Wtyczka Blocksy Companion firmy Creative Themes zawiera podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiającą przechowywany XSS. Problem dotyczy Blocksy Companion w wersjach od n/a do 2.1.60.