Katalog podatności CVE

multer przed wersją 2.3.0 zawiera podatność na wyścig (race condition) w obsłudze strumienia plików, gdy używany jest asynchroniczny fileFilter wraz z limitem fileSize. Pozwala to na obejście odrzucenia pliku przekraczającego limit rozmiaru.

StorageGRID w wersjach 11.5 i nowszych, w niestandardowej konfiguracji i scenariuszu, jest podatny na atak typu Denial of Service. Udany atak może pozwolić osobie atakującej z pewną kontrolą nad środowiskiem na spowodowanie częściowej odmowy usługi.

Implementacja WireGuard w Zephyrze błędnie obsługiwała pakiety keepalive. Wiadomość typu 4 z 16-bajtowym ładunkiem (pusty tekst jawny i tag Poly1305) była akceptowana bez weryfikacji tagu uwierzytelniającego, ponieważ funkcja wg_process_data_message() zwracała wynik przed wywołaniem wg_decrypt_packet(). Atakujący mógł wysłać fałszywy keepalive, nie znając klucza sesji.

W houtini-ai houtini-lm do wersji 2.13.2 znaleziono błąd w nieznanej funkcji pliku src/index.ts komponentu code_task_files. Manipulacja może prowadzić do path traversal. Atak może być przeprowadzony zdalnie. Poprawka jest dostępna pod identyfikatorem 35d97bca0531894da36a85aedb95312da1bd5b7a.

W CodeChecker do wersji 6.28.2 występuje błąd w ldlogger-tool-gcc.c:129, gdzie funkcja safe_strcpy() (będąca strncpy()) zapisuje 4096 bajtów do bufora o pojemności 4094, powodując 2-bajtowe przepełnienie stosu przy każdym wywołaniu, niezależnie od długości ścieżki wejściowej. Poprawka CVE-2025-40843 zastąpiła niekontrolowane strcpy() bezpiecznym safe_strcpy(), ale niepoprawnie przekazała rozmiar.

file_picker (znany jako flutter_file_picker) dla Fluttera, wszystkie wersje do 10.3.10, jest podatny na path traversal (CWE-22) w implementacji na Androida. Metoda openFileStream() w FileUtils.kt używa DISPLAY_NAME uzyskanego z ContentResolver.query() bezpośrednio w konstrukcji ścieżki pliku bez sanityzacji. Złośliwa aplikacja na Androida z spreparowanym ContentProvider może zwrócić nazwę pliku zawierającą sekwencje ../, powodując, że plugin tworzy dowolne pliki i katalogi poza zamierzonym katalogiem cache w wewnętrznym magazynie ofiary. Istniejące pliki nie są nadpisywane ze względu na sprawdzenie istnienia.

W gitoxide przed wersją 0.38.2 nie są poprawnie walidowane znaki powrotu karetki w wartościach URL przekazywanych do pomocników poświadczeń. Atakujący mogą dostarczyć URL zawierające gołe powroty karetki, aby wstrzyknąć dodatkowe pola protokołu pomocnika i spowodować, że pomocnicy zwrócą poświadczenia dla hostów wskazanych przez atakującego zamiast żądanego URL.

W filebrowser od wersji 2.24.0 występuje wyścig w obsłudze przesyłania TUS, który pozwala uwierzytelnionym użytkownikom zapisywać poza zadeklarowaną długością Upload-Length poprzez wysyłanie równoczesnych żądań PATCH. Atakujący mogą wysyłać wiele jednoczesnych żądań PATCH na tym samym offsecie, aby ominąć walidację długości, co skutkuje plikami przekraczającymi zadeklarowany rozmiar i wyzwalaniem hooków zakończenia dla zbyt dużych przesyłek.

W filebrowser do wersji 2.63.23 nie są usuwane rekordy udostępniania, gdy udostępniony plik zostanie zmieniony nazwą (tylko usunięcie wyzwala czyszczenie). Rekord udostępniania jest powiązany ze ścieżką, więc przetrwa zmianę nazwy i pozostaje uśpiony (zwracając 404, gdy ścieżka jest pusta). Gdy później pojawi się nowy, niezwiązany plik pod oryginalną ścieżką — przez ponowne przesłanie, innego użytkownika z uprawnieniami do tworzenia lub hook — stary publiczny link udostępniania serwuje ten nowy plik z ustawieniami hasła i wygaśnięcia oryginalnego linku, nieoczekiwanie go ujawniając.

Wersje File Browser od 2.63.6 do 2.63.23 nie usuwają publicznych linków udostępniania, gdy uprzywilejowany użytkownik usunie plik udostępniony przez innego użytkownika. Atakujący mogą uzyskać dostęp do przetrwałego linku udostępniania, aby pobrać nowe, niezwiązane treści przesłane na tę samą ścieżkę bez uwierzytelnienia.

W Sieve zużycie zasobów CPU jest śledzone w skompilowanym skrypcie, więc atakujący z ważnymi poświadczeniami może zresetować licznik, wielokrotnie zmieniając aktywny skrypt. Skompilowane pliki skryptów nie są również usuwane, gdy skrypt jest usuwany lub zmieniany nazwą. Skonfigurowany limit CPU Sieve może zostać ominięty, co pozwala na ciągłe zużycie CPU, a pozostawione pliki zwiększają zużycie dysku. Oba mogą powodować degradację usługi dostarczania poczty. Monitoruj system pod kątem nieprawidłowego zużycia CPU i dysku. Zaktualizuj do niepodatnej wersji. Nie są znane publiczne exploity.

Porównanie używane dla hasła doveadm i klucza API nie jest w pełni bezpieczne czasowo i może ujawnić długość skonfigurowanego sekretu. Atakujący z dostępem do tej samej sieci co usługa doveadm, mogący wysyłać powtarzane żądania i dokładnie mierzyć czas odpowiedzi, może poznać długość sekretu, co zmniejsza wysiłek potrzebny do jego odgadnięcia. Sama wartość sekretu nie jest ujawniana. Ogranicz dostęp sieciowy do usługi doveadm do zaufanych klientów. Zaktualizuj do niepodatnej wersji. Nie są znane publiczne exploity.

Brak szczegółowych informacji w opisie. Nie są znane publiczne exploity.

Gdy kompresja IMAP jest włączona, ten sam stan kompresji jest ponownie używany w odpowiedziach w sesji, więc rozmiary odpowiedzi zależą zarówno od poczty dostarczonej przez atakującego, jak i od innej poczty w tej samej skrzynce. Atakujący, który może wysyłać pocztę do użytkownika i obserwować rozmiary ruchu IMAP tego użytkownika, może potwierdzić, czy treść małej wiadomości pasuje do odgadniętego tekstu. Nie wykazano odzyskiwania dowolnej nieznanej treści, ale atak może ujawnić, czy treść wiadomości przypominającej sekret pasuje do kandydata.

Wtyczka WordPress Quiz and Survey Master (QSM) przed wersją 11.2.4 nie sprawdza autoryzacji przy zwracaniu wpisów z banku pytań przez jedną z tras REST API. Użytkownicy z rolą co najmniej Contributor mogą odczytywać pytania, wskazówki i klucze odpowiedzi quizów należących do innych użytkowników.

W scrapling-fetch-mcp do wersji 0.2.2 wykryto podatność na server-side request forgery (SSRF) w funkcjach s_fetch_page/s_fetch_pattern w pliku src/scrapling_fetch_mcp/_fetcher.py. Atak może być przeprowadzony zdalnie. Naprawa dostępna w wersji 0.2.3.

W Roo-Code do wersji 3.51.1 wykryto podatność w komponencie OAuth Callback (plik src/integrations/claude-code/oauth.ts), która powoduje przesyłanie wrażliwych informacji w postaci jawnego tekstu. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Projekt nie jest już wspierany przez autora.

Aplikacje, które budują wartość nagłówka Content-Disposition z niezaufanych danych wejściowych, mogą być podatne na rozdzielenie odpowiedzi HTTP, gdy dane wejściowe to złośliwa nazwa pliku. Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.

Podatność w Spring Cloud Stream umożliwia deserializację niezaufanych typów, co może prowadzić do zdalnego wykonania kodu lub innych ataków związanych z deserializacją.

W Spring Cloud Stream interceptor partycji może być nieprawidłowo dodany podczas wysyłania wiadomości, co może prowadzić do nieoczekiwanego zachowania w przetwarzaniu komunikatów.