Katalog podatności CVE

W Wavlink WL-WN530BE2-A do wersji M30BE2_V250604 w funkcji sub_12580 pliku api.cgi (komponent Login Processing) manipulacja argumentem REMOTE_ADDR prowadzi do wstrzyknięcia poleceń systemowych. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Podatność lokalnej eskalacji uprawnień w TotalAV pozwala nieuprzywilejowanemu lokalnemu użytkownikowi sfałszować token uwierzytelniający gRPC IPC poprzez załadowanie IPC.dll i wykorzystać usługę SYSTEM w TotalAV do wykonania dowolnego kodu jako NT AUTHORITY\SYSTEM.

W komponencie Symfony YAML przed wersjami 5.4.54, 6.4.45, 7.4.18 i 8.1.6 metoda Yaml\Parser::lexInlineStructure() rekurencyjnie przetwarzała każdy znak { i [ w kolekcji inline, nie wchodząc na poziom zagnieżdżenia ograniczany przez maxNestingLevel. Dokument z głęboko zagnieżdżonymi kolekcjami inline, np. [[[[...]]]], wyczerpywał stos podczas analizy, powodując awarię procesu lub błąd fatalny żądania. Podatność dotyczy każdego kodu parsującego niezaufany YAML, w tym #[MapRequestPayload], gdy komponent Yaml jest zainstalowany, a endpoint nie ogranicza acceptFormat.

W Progress Kendo UI for jQuery przed wersją v2026.3.1015 specjalnie spreparowane wartości filtrów w transporcie PivotGrid XMLA mogły zmieniać predykaty MDX lub wstrzykiwać znaczniki XML do żądań SOAP. Może to prowadzić do ujawnienia danych dostępnych przez skonfigurowane połączenie XMLA.

W Symfony http-foundation przed wersjami 5.4.54, 6.4.46, 7.4.19 i 8.1.7 metoda HeaderUtils::split() parsowała wartości nagłówków wzorcem, którego alternatywa tokenu dopasowywała również białe znaki, z negatywnym lookbehind (?<!\s). Ciąg białych znaków przed separatorem mógł być dzielony na wykładniczo wiele sposobów, powodując wysokie zużycie CPU. HeaderBag wywołuje tę metodę dla nagłówka Cache-Control przy każdym budowaniu Request, więc każda aplikacja obsługująca żądania HTTP jest narażona bez uwierzytelnienia. Od 18 spacji preg_match_all() osiąga limit pcre.backtrack_limit, a split() zwraca pustą tablicę, przez co dyrektywy nagłówka są po cichu odrzucane.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 szablony zawartości miesiąca w komponentach Calendar i MultiViewCalendar renderują data.url i data.title bez odpowiedniej sanityzacji URL i kodowania atrybutów HTML. Atakujący o niskich uprawnieniach kontrolujący opcję URL lub wartości tytułu pochodzące z kultury może dostarczyć adres URL JavaScript lub wstrzyknąć atrybuty obsługi zdarzeń. Gdy użytkownik wchodzi w interakcję z kalendarzem, JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.

W Progress® Kendo® UI for jQuery od wersji 2012.2.710 do wersji przed 2026.3.1015 komponent Validator dekoduje komunikaty walidacyjne z atrybutów data-msg-* i parsuje wynikowy tekst jako HTML. Atakujący mogący zmodyfikować komunikat walidacyjny może spowodować, że poprawnie escapowany HTML w atrybucie strony stanie się aktywnym znacznikiem, w tym obsługą zdarzeń, gdy użytkownik wywoła walidację. Udana eksploatacja może wykonać JavaScript w przeglądarce użytkownika.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponenty Splitter i Window (od wersji 2011.2.804) oraz Tooltip (od wersji 2013.1.319) konstruują znaczniki iframe bez odpowiedniej sanityzacji wartości URL i kodowania tytułu iframe w Window. Atakujący o niskich uprawnieniach kontrolujący te wartości może wstrzyknąć atrybuty HTML, w tym obsługę zdarzeń JavaScript, poprzez apostrof w adresie URL iframe lub spreparowany tytuł. Gdy użytkownik wchodzi w interakcję z komponentem, wstrzyknięty JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponent Menu konstruuje atrybuty HTML z pól dataSource poprzez konkatenację ciągów bez odpowiedniej neutralizacji. Atakujący o niskich uprawnieniach kontrolujący te pola może wstrzyknąć atrybuty obsługi zdarzeń JavaScript, które wykonają się, gdy użytkownik wchodzi w interakcję z komponentem Menu, zagrażając poufności i integralności danych dostępnych w kontekście przeglądarki użytkownika.

Wtyczka AUTOM8N (WHM/cPanel) do commita 82821f7 zawiera podatność OS Command Injection w pliku borg_restore.cgi.

P4 Search (dawniej Helix Search) zwraca zapisane poświadczenia w postaci jawnej przez swoje API konfiguracji użytkownikom z uprawnieniami administracyjnymi na podłączonym serwerze P4. Umożliwia to eskalację uprawnień. Podatność dotyczy wersji 2026.4.2 i wcześniejszych, została naprawiona w 2026.4.3.

P4 Search (dawniej Helix Search) pozwala uwierzytelnionemu użytkownikowi z uprawnieniami administracyjnymi na podłączonym serwerze P4 dostarczyć spreparowaną konfigurację logowania, która powoduje zapis lub usunięcie plików poza zamierzonym katalogiem logów. Może to prowadzić do wykonania kodu jako konto usługi P4 Search. Podatność dotyczy P4 Search 2026.4.2 i wcześniejszych; Perforce naprawił ją w 2026.4.3.

W serwisie Eclipse Adoptium (adoptium.net) strona po pobraniu /[locale]/download pobiera adres URL z parametru zapytania "link" i automatycznie na niego przechodzi za pomocą meta http-equiv="refresh". Adres jest weryfikowany względem listy zaufanych prefiksów przy użyciu String.startsWith() na surowym ciągu, podczas gdy przeglądarka stosuje normalizację segmentów kropkowych zgodnie z RFC 3986 przed nawigacją, więc wartość taka jak https://github.com/adoptium/temurin/../../attacker/malware/releases/download/v1/jdk.exe przechodzi weryfikację, ale prowadzi do repozytorium kontrolowanego przez atakującego. Ofiara, która kliknie spreparowany link adoptium.net, zobaczy prawdziwą stronę "Thank you for downloading Eclipse Temurin", podczas gdy jej przeglądarka pobierze plik binarny wybrany przez atakującego.

CVE-2026-110927 został odrzucony jako duplikat CVE-2026-106585. Oryginalny opis podatności nie jest dostępny w tym zgłoszeniu.

CVE-2026-110924 zostało odrzucone, ponieważ jest duplikatem CVE-2026-106553. Oryginalny opis podatności nie jest dostępny w tym zgłoszeniu.

W Progress® Kendo® UI for jQuery w wersjach od v2023.1.117 do wersji przed v2026.3.1015 komponenty FileBrowser i ImageBrowser renderują zdalnie dostarczone nazwy plików i katalogów jako HTML bez właściwego kodowania. Nazwa kontrolowana przez atakującego zawierająca HTML powiązany ze skryptami może wykonać JavaScript w przeglądarce użytkownika.

W Progress® Kendo® UI for jQuery w wersjach od 2023.3.1010 do wersji przed 2026.3.1015 komponent FileManager renderuje zdalnie dostarczone nazwy elementów jako HTML w domyślnej podpowiedzi przeciągania, mimo że odpowiadające im elementy listy są kodowane. Atakujący kontrolujący nazwę elementu może wstrzyknąć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas przeciągania dotkniętego elementu.

W Progress® Kendo® UI for jQuery w wersjach od v2020.1.114 do wersji przed 2026.3.1015 metoda Badge text renderuje wartości tekstowe jako surowy HTML bez kodowania, w tym wartości dostarczone przez powiązanie text. Atakujący mogący zmodyfikować dane powiązane z Badge może dostarczyć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas renderowania wartości.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 metoda Model.accept przekazuje klucze odpowiedzi serwera do kendo.setter bez zabezpieczenia przed niebezpiecznymi ścieżkami obiektów zawierającymi __proto__, constructor lub prototype. Atakujący mogący dostarczyć dane akceptowane przez dotknięty model może modyfikować atrybuty prototypu obiektu i wpływać na zachowanie aplikacji.