Katalog podatności CVE

Squirro Cognitive Search przed wersją 3.14.2 ma podatność typu Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu za pomocą funkcji Email Notification, Create Evaluation Sets i HTML Editor.

Kolibri to platforma edukacyjna działająca w trybie offline. Przed wersją 0.19.4 kilka punktów końcowych API Kolibri akceptuje niezweryfikowany parametr `baseurl` i pobiera adresy URL kontrolowane przez atakującego z serwera Kolibri, odzwierciedlając treść odpowiedzi z powrotem do wywołującego. Oryginalny raport zidentyfikował dwa punkty końcowe w widokach `RemoteFacilityUser*`; podczas przeglądu naprawy znaleziono dwa kolejne punkty odbicia w tym samym wzorcu. Punkt końcowy GET był nieuwierzytelniony. Wersja 0.19.4 naprawia tę podatność.

Glances to narzędzie do monitorowania systemu o otwartym kodzie źródłowym, działające na wielu platformach. Przed wersją 4.5.6 zabezpieczenie cors_origins w glances/outputs/glances_restful_api.py używa dokładnego porównania list zamiast dopasowania symboli wieloznacznych, co pozwala liście z wieloma pochodzeniami zawierającej symbol wieloznaczny na zachowanie cors_credentials i ujawnienie uwierzytelnionych danych API niezaufanej stronie internetowej odwiedzanej przez wcześniej uwierzytelnionego użytkownika. Problem został naprawiony w wersji 4.5.6.

W Zephyr OS w kodzie dekompresji 6LoWPAN IPHC (subsys/net/ip/6lo.c) występuje odczyt poza zakresem w funkcji get_ihpc_inlined_size(). Indeks do tablicy da_inline_size_table (13 wpisów) jest budowany z 4-bitowego pola M, DAC i DAM nagłówka IPHC, a zarezerwowane kombinacje 13, 14 i 15 nie są sprawdzane pod kątem granic, co prowadzi do odczytu poza tablicą.

Sterownik ARM PL011 UART (drivers/serial/uart_pl011.c) nie potwierdza przerwań błędów odbioru. Błędy ramki, parzystości, przerwy i nadmiaru są czyszczone tylko przez zapis do rejestru UARTICR, ale procedura przerwania pl011_isr() tego nie robi, co powoduje, że przerwanie pozostaje aktywne po zakończeniu obsługi. Atakujący kontrolujący port szeregowy może wywołać te błędy, prowadząc do niekończącej się burzy przerwań i trwałego zawieszenia systemu.

Sterownik modemu LTE-M WNC-M14A2A nieprawidłowo obsługuje niechciane zdarzenia %NOTIFYEV, co prowadzi do odczytu poza stosem i pojedynczego zapisu poza stosem. Podatność może zostać wywołana przez złośliwą stację bazową lub zmodyfikowany modem bez interakcji z aplikacją.

W JetBrains PyCharm przed wersją 2026.2.1 możliwe było wykonanie kodu poprzez Quick Documentation.

W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwy był atak XXE w importerach ustawień Eclipse.

W JetBrains IntelliJ IDEA przed wersją 2026.1.5 poświadczenia git były zapisywane w postaci zwykłego tekstu w logach IDE.

W JetBrains IntelliJ IDEA przed wersją 2026.2.1 menedżer zasobów Hadoop (ResourceManager) mógł odczytywać lokalne pliki poprzez XXE.

W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwy był atak SSRF poprzez proxy podglądu OpenAPI w niezaufanych projektach.

W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwy był atak SSRF (Server-Side Request Forgery) przez punkt końcowy nasłuchiwania debuggera DevKit.

W JetBrains YouTrack przed wersjami 2026.1.13903 i 2026.2.17950 uwierzytelniony użytkownik mógł odczytać zastrzeżone artykuły z innych projektów przez punkt końcowy tworzenia wersji roboczych.

W JetBrains YouTrack przed wersją 2026.2.18177 możliwy był atak DoS (Denial of Service) poprzez bombę dekompresyjną w punkcie końcowym importu.

W JetBrains YouTrack przed wersją 2026.2.18112 uwierzytelniony użytkownik mógł enumerować konta przez punkt końcowy wyszukiwania użytkowników.

Podatność w jae-jae fetcher-mcp do wersji 0.3.9 dotyczy funkcji fetch_url/fetch_urls w komponencie URL Validation, co umożliwia atak SSRF (Server-Side Request Forgery). Atak może być przeprowadzony zdalnie.

W JetBrains Ktor przed wersją 3.4.1 możliwy był atak DoS (Denial of Service) poprzez dekompresję WebSocket.

W New API (bramka LLM i system zarządzania zasobami AI) od wersji 0.9.1.3 do 1.0.0-rc.7, funkcja AdminResetPasskey w controller/passkey.go nie sprawdza autoryzacji canManageTargetRole dla żądania DELETE /api/user/:id/reset_passkey, co pozwala administratorowi o niższych uprawnieniach na usunięcie klucza dostępu z konta o równych lub wyższych uprawnieniach, w tym z konta root.

W New API przed wersją 1.0.0-rc.16, powtarzane żądania PUT /api/user/self aktualizujące język lub sidebar_modules mogą powodować wyścig w rozliczeniach relay, ponieważ controller/user.go wywołuje User.Update, a updateUserCache wykonuje pełny zapis RedisHSetObj do user:.Quota, nadpisując równoczesne odjęcia HINCRBY i pozwalając uwierzytelnionemu użytkownikowi na sztuczne utrzymanie wysokiego limitu.

W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.1, na stronach z włączoną moderacją grup kategorii, kolejka przeglądu mogła zawierać fragment (i permalink) prywatnej wiadomości dołączonej do flagi, nawet gdy moderator kategorii nie był uczestnikiem tej wiadomości. Wiadomości flagowe notify_moderators są adresowane tylko do moderatorów i, dla flag podstawowych, do grup moderacji kategorii w momencie zgłoszenia flagi, więc moderator grupy kategorii mógł odczytać treść dyskusji flagowej, do której nie był upoważniony. Dotyczy to oficjalnych wtyczek tworzących takie wiadomości oraz flag podstawowych zgłoszonych przed przyznaniem grupie moderatora uprawnień do moderacji kategorii. Naruszona jest tylko poufność ograniczonego fragmentu tych prywatnych wiadomości związanych z flagami; żadna treść nie może być modyfikowana ani usuwana.