Katalog podatności CVE

Qexo w wersjach od 4.0.0 do 4.2.0 udostępnia endpoint /api/init_step/ bez uwierzytelnienia, autoryzacji ani zabezpieczenia przed ponownym uruchomieniem konfiguracji. Nieuwierzytelniony atakujący z ważnym tokenem CSRF może zresetować ustawienie INIT i ponownie wejść w proces konfiguracji, co może ujawnić przechowywane dane uwierzytelniające PROVIDER.

Moonlight Qt to klient GameStream dla Windows, macOS, Linux i Steam Link. W wersji 6.1.0 i wcześniejszych, po zainicjowaniu sesji strumieniowania do złośliwego hosta, host może wysłać spreparowany H.264 SPS NAL, gdy Moonlight wybierze ścieżkę dekodera, która nie ogłasza CAPABILITY_REFERENCE_FRAME_INVALIDATION_AVC. Ścieżka naprawy SPS w app/streaming/video/ffmpeg.cpp parsuje dane dostarczone przez serwer za pomocą h264bitstream, gdzie kontrolowany przez atakującego seq_parameter_set_id jest używany do indeksowania 32-elementowej tablicy sps_table bez walidacji. Wartość 32 lub większa powoduje zapis poza granicami i zdalne uszkodzenie sterty w kliencie Moonlight. Wykazany wpływ to niezawodna awaria klienta, choć wykonanie kodu nie zostało ustalone. Problem naprawiono w wersji 6.2.0.

W urządzeniu Edimax BR-6208AC w wersji 1.32 odkryto podatność w nieznanej funkcji pliku /goform/formUrlb (strona blokowania HTTP). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanej funkcji pliku /goform/formFilter. Manipulacja prowadzi do podatności na cross site scripting. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

W Netcore NR268 1.7.121109 wykryto podatność w funkcji eval pliku filter_hosts_dump.cgi komponentu DHCP Hostname Handler. Manipulacja argumentem Hostname powoduje cross site scripting. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

QGIS to wolny, otwartoźródłowy, wieloplatformowy system informacji geograficznej. Przed wersją 3.44.12 oraz w wersjach od 4.0.0 do 4.2.3, QGIS Server renderuje dane cech w odpowiedziach HTML WFS3 (OGC API Features) bez escapowania HTML. Wartości feature.properties kontrolowane przez atakującego z opublikowanej warstwy wektorowej z prawem zapisu trafiają do resources/server/api/ogc/templates/wfs3/getFeatures.html przez QgsServerOgcApiHandler::htmlDump i callback if_nullptr_null_str. Użytkownik otwierający stronę HTML elementów może wykonać zapisany markup lub skrypt w origin QGIS Server, co może ujawnić dane sesji przeglądającego lub wykonać uwierzytelnione żądania z uprawnieniami przeglądającego. Problem naprawiono w wersji 3.44.12.

GNU Aspell 0.60.8.2 (pierwsza podatna wersja nie jest znana) zawiera przepełnienie bufora sterty (CWE-122) w loaderze słownika tylko do odczytu. String::reserve() w common/string.hpp oblicza sprawdzenie pojemności za pomocą signed int ((int)s + 1), więc żądany rozmiar 0x7FFFFFFF zawija się na wartość ujemną i bufor nie jest powiększany. ReadOnlyDict::load() w modules/speller/default/readonly_ws.cpp przekazuje niezwalidowane 32-bitowe pola rozmiaru z nagłówka słownika .rws do tej ścieżki, więc spreparowany plik .rws z prawidłowym znacznikiem endian (12345678) i nadmiernym polem długości (np. lang_name_size = 0x7FFFFFFF) powoduje zapis danych kontrolowanych przez atakującego poza granicami zbyt małej alokacji sterty. Atakujący, który nakłoni ofiarę do załadowania złośliwego słownika — na przykład przez aspell dump master <file> — może uszkodzić pamięć sterty, powodując odmowę usługi i potencjalnie wykonanie kodu. Naprawiono w b830b6e i będzie naprawione w wersji 0.60.8.3.

Nango to open-source platforma do łączenia agentów i produktów z API stron trzecich. Przed wersją 0.70.9, na kontach z włączonym RBAC przez plan z has_rbac=true, dwie prywatne trasy odczytu przepływu, GET /api/v1/integrations/:providerConfigKey/flows i GET /api/v1/flow/:flowName, stosują webAuth, ale pomijają can({ action: 'read', resource: 'flow', scopedBy: envScope }). Użytkownik tej samej drużyny z rolą development_full_access może zatem zażądać env=prod i odczytać metadane przepływu integracji produkcyjnej lub konfigurację nazwanego przepływu, mimo że jest odrzucany przez chronione trasy produkcyjne. Oba kontrolery używają res.locals.environment z uwierzytelnionego konta, więc problem omija granicę ról produkcyjnych, ale nie przekracza granic dzierżawcy. Problem naprawiono w wersji 0.70.9 i managed-1.5.11-0.70.8-aae30d044d7e229807d51a3957c212f3fb689e1a.

Super Productivity to zaawansowana aplikacja listy zadań z wbudowanym timeboxingiem i śledzeniem czasu. Od wersji 17.3.0 do 18.13.1, konfiguracja szyfrowania end-to-end SuperSync wywołuje sync(true) przed ustawieniem hasła szyfrowania przez użytkownika, powodując, że ścieżka przesyłania operacji transmituje i przechowuje wszystkie operacje użytkownika w postaci jawnej. Ujawnione operacje mogą zawierać prywatną treść zadań i poświadczenia połączonych dostawców problemów, w tym hasła wielokrotnego użytku, tokeny API i hasła aplikacji. Użytkownicy, którzy ukończą konfigurację E2EE, mają usunięte operacje jawne, podczas gdy użytkownicy, którzy opuszczą krok ustawiania hasła, mogą pozostawić dane przechowywane bezterminowo. Akcja Disable SuperSync nie usuwała jawnych danych, które zostały już przesłane. Routing i metadane przyczynowe pozostają jawne z założenia i nie są częścią tej podatności. Problem naprawiono w wersji 18.13.1.

Convex to open-source reaktywna baza danych dla programistów aplikacji. Przed obrazem self-hosted opublikowanym 10 sierpnia 2026 i lokalnym binarium precompiled-2026-08-10-c0cb7ae, złośliwy użytkownik może w rzadkich przypadkach dokonać nieautoryzowanego odczytu informacji o wdrożeniu z wdrożenia Convex. Opiekun celowo wstrzymał dotknięty komponent i mechanizm techniczny, aby chronić nieaktualizowane wdrożenia self-hosted, i nie są znane żadne dowody wykorzystania. Wdrożenia Convex cloud zostały załatane automatycznie. Problem naprawiono w obrazie self-hosted opublikowanym 10 sierpnia 2026 i lokalnym binarium precompiled-2026-08-10-c0cb7ae.

IBM Power Systems Firmware FW1060.00 do FW1060.81 ma podatność w parsowaniu konfiguracji firmware hosta, umożliwiającą atakującemu z dostępem serwisowym do FSP spowodowanie uszkodzenia pamięci podczas IPL, co narusza integralność bootowania i hiperwizora.

IBM Power Systems Firmware FW1060.00 do FW1060.81 ma podatność w interfejsie mailbox procesora serwisowego, umożliwiającą atakującemu z dostępem serwisowym do FSP odczyt i modyfikację pamięci Hostboot, co narusza integralność bootowania i hiperwizora.

IBM Power Systems Firmware FW1060.00 do FW1060.81 ma podatność w interfejsie mailbox procesora serwisowego, umożliwiającą atakującemu z dostępem serwisowym do FSP przepełnienie pamięci atrybutów runtime firmware hosta, co pozwala na wykonanie dowolnego kodu w runtime firmware.

IBM Power Systems Firmware FW1120.00 do FW1120.01, FW1110.00 do FW1110.31 i FW1060.00 do FW1060.81 ma podatność w ścieżce walidacji obrazu podczas procesu bootowania, umożliwiającą atakującemu z dostępem serwisowym do procesora serwisowego dostarczenie złośliwego obrazu aktualizacji kodu, co pozwala na wykonanie dowolnego kodu na hoście.

IBM Power Systems Firmware FW1060.00 do FW1060.81 ma podatność w interfejsie mailbox procesora serwisowego, umożliwiającą atakującemu z dostępem serwisowym do FSP przepełnienie pamięci atrybutów runtime firmware hosta, co pozwala na wykonanie dowolnego kodu w runtime firmware.

Oprogramowanie układowe IBM Power Systems w wersjach FW1060.00 do FW1060.81 zawiera podatność w analizie konfiguracji oprogramowania układowego hosta. Atakujący z uwierzytelnionym dostępem na poziomie usług do procesora usług może zapisać specjalnie spreparowane dane konfiguracyjne, powodując awarię stosu rozruchowego oprogramowania układowego hosta z możliwym uszkodzeniem pamięci podczas inicjalizacji systemu, co wpływa na integralność i dostępność zarządzanego systemu.

Podatność ataku powtórzeniowego OAuth1 w Apache Allura. Problem dotyczy Apache Allura do wersji 1.21.0. Użytkownicy powinni zaktualizować do wersji 1.22.0, która naprawia problem.

Podatność Mass Assignment w REST API w Apache Allura. Problem dotyczy Apache Allura do wersji 1.21.0. Użytkownicy powinni zaktualizować do wersji 1.22.0, która naprawia problem.

Podatność walidacji callbacku OAuth1 w Apache Allura. Problem dotyczy Apache Allura do wersji 1.21.0. Użytkownicy powinni zaktualizować do wersji 1.22.0, która naprawia problem.

Nginx UI to interfejs webowy dla serwera Nginx. Przed wersją 2.4.1 trasy mutacji konfiguracji HTTP wymagają RequireSecureSession, ale /mcp i /mcp_message wymagają tylko zwykłego uwierzytelnienia przed udostępnieniem nginx_config_add i nginx_config_modify. Użytkownik z włączonym OTP, posiadający zwykły JWT, ale bez ważnego X-Secure-Session-ID, może tworzyć lub modyfikować konfigurację Nginx i wywoływać przeładowanie przez MCP, omijając zamierzoną kontrolę step-up. Problem naprawiono w wersji 2.4.1.