Katalog podatności CVE

W bibliotece pypdf przed wersją 6.21.2 atakujący może spreparować plik PDF ze standardową tablicą referencji krzyżowych, której zadeklarowana liczba wpisów przekracza to, co plik może zawierać, powodując nadmierne przetwarzanie i długi czas działania przy otwieraniu pliku. Problem naprawiono w wersji 6.21.2.

Biblioteka pypdf przed wersją 6.21.2 jest podatna na atak, w którym spreparowany plik PDF wielokrotnie odwołuje się do tego samego nieistniejącego obiektu pośredniego. Powoduje to powtarzające się pełne odzyskiwanie pliku i długi czas działania przy dostępie do takich elementów jak strony. Problem naprawiono w wersji 6.21.2.

W HP One Agent dla niektórych produktów HP PC zidentyfikowano potencjalną lukę w zabezpieczeniach, która może umożliwić eskalację uprawnień i/lub wykonanie dowolnego kodu. HP udostępnia aktualizacje oprogramowania w celu złagodzenia tej potencjalnej podatności.

Electron to framework do tworzenia wieloplatformowych aplikacji desktopowych przy użyciu JavaScript, HTML i CSS. W wersjach przed 42.11.16, 43.8.1, 44.9.1 i 45.0.0-beta.6 Electron nie blokuje skompromitowanych certyfikatów pośrednich eMudhra w sieci Chromium, Node.js tls, Node.js https ani Node.js fetch. Atakujący posiadający certyfikat wystawiony przez taki certyfikat pośredni i mogący przechwycić ruch sieciowy może podszyć się pod serwer TLS dla podatnej aplikacji.

Tandoor Recipes przed wersją 2.7.0 zawiera wadliwy projekt klucza pamięci podręcznej w pliku cookbook/helper/permission_helper.py, który pozwala uwierzytelnionym użytkownikom zachować nieaktualne uprawnienia grupowe w różnych przestrzeniach. Klucz pamięci podręcznej opiera się tylko na identyfikatorze użytkownika, pomijając aktywną przestrzeń, a wpis jest odświeżany przy każdym żądaniu. Atakujący może utworzyć własną przestrzeń, uzyskać uprawnienia administratora, a następnie przełączyć się na przestrzeń ofiary, gdzie nieaktualna decyzja o uprawnieniach administratora pozwala na podniesienie uprawnień i obejście odebrania uprawnień.

ConnMan do wersji 2.0 zawiera przepełnienie bufora na stosie w funkcji get_domains w gdhcp/client.c, wywoływane przez komunikat DHCPv6 Reply. Kopiuje ona stałą liczbę 1025 bajtów z opcji DOMAIN_LIST (opcja 24) do bufora stosu dns_name o rozmiarze 1026 bajtów, niezależnie od rzeczywistej długości opcji, a następnie przechodzi etykiety DNS w pętli bez ograniczeń. Spreparowany komunikat DHCPv6 REPLY z opcją DOMAIN_LIST o długości co najmniej 1025 niezerowych bajtów powoduje wyjście poza bufor i zapis/odczyt poza jego końcem. Atakujący w tej samej sieci może to wywołać bez uwierzytelnienia poprzez sfałszowany Router Advertisement (O=1) i sfałszowany DHCPv6 REPLY.

W Kruize Autotune interfejs REST API działa bez warstwy uwierzytelniania, a endpointy zwracające konfigurację źródeł danych (GET /datasources oraz endpoint metadanych źródeł danych) serializują obiekty źródeł danych przy użyciu domyślnej konfiguracji Gson bez strategii wykluczania pól. W rezultacie sekrety uwierzytelniania zapisane dla każdego skonfigurowanego źródła monitoringu (hasła basic-auth, tokeny bearer, klucze API i sekrety klienta OAuth2) są zwracane w postaci jawnej każdemu klientowi mogącemu połączyć się z usługą. Atakujący z dostępem sieciowym może przechwycić te dane uwierzytelniające i użyć ich do uwierzytelnienia w monitorowanym stosie.

Nieprawidłowa sanityzacja w module rejestracji pozwala na odbity atak Cross-Site Scripting (XSS).

Tandoor Recipes przed wersją 2.7.0 zawiera podatność Server-Side Request Forgery (SSRF) w importerze Pestle. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wymusić na serwerze żądania GET do dowolnych hostów wewnętrznych lub zewnętrznych poprzez spreparowany URL obrazu w pliku importu JSON Pestle.

Błąd w weryfikacji nazwy hosta TLS w Node.js może spowodować, że certyfikat serwera zostanie zweryfikowany względem innego adresu IP niż ten, z którym połączył się klient, gdy host jest niekanonicznym literałem IPv4 z wiodącym zerem, np. `0127.0.0.1`.

Błąd w weryfikacji nazwy hosta TLS w Node.js pozwala certyfikatowi bez pasującego adresu IP SAN na uwierzytelnienie połączenia z adresem IPv4, gdy host jest zapisany znakami nie-ASCII, np. pełnoszerokimi cyframi (`１２７.0.0.1`).

Błąd w rozwiązywaniu DNS w Node.js pozwala na ciche obcięcie nazw hostów zawierających bajt NUL przez funkcje dns.resolve*() i dns.reverse(). Jest to niekompletna poprawka CVE-2026-48930, która obejmowała tylko dns.lookup() i opcje hosta net/tls.

Biblioteka Hugging Face Datasets do wersji 5.1.0 zawiera podatność niezabezpieczonej deserializacji, która pozwala na wykonanie dowolnego kodu Pythona poprzez spreparowany plik pickle. Ładowany jest on przez przestarzały builder pandas i przetwarzany przez Pandas._generate_tables za pomocą pandas.read_pickle() bez walidacji, co przy wywołaniu datasets.load_dataset("pandas", ...) uruchamia zagnieżdżony payload __reduce__ z uprawnieniami procesu ofiary.

W endpointcie /htdocs/web/diagnostic.php urządzenia D-Link DAP1160L A1_FW101WWb04 występuje podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może wykonać dowolne polecenia poprzez wstrzyknięcie znaków metaznaków powłoki.

e-SIC Livre (esiclivre) w wersji 0.2.2 i starszych zawiera podatność na niekontrolowane zużycie zasobów w pliku restrito/inc/captcha.php. Aplikacja używa parametrów dostarczonych przez użytkownika (l, a, tf, ql) bez walidacji do generowania obrazów CAPTCHA, co pozwala zdalnym atakującym wywołać odmowę usługi poprzez nadmierne zużycie pamięci i CPU.

W Nitro PDF Pro dla macOS w wersji 14.7 występuje problem pozwalający lokalnemu atakującemu na wykonanie dowolnego kodu za pomocą spreparowanego pliku PDF. Podatność wymaga otwarcia złośliwego dokumentu przez użytkownika na zaatakowanym systemie.

W Uni-CLI przed wersją 0.225.2 starszy transport JSON-RPC-over-HTTP MCP był udostępniany na interfejsie loopback bez walidacji nagłówka Origin przeglądarki. Złośliwa strona mogła wysłać proste żądanie CORS POST do lokalnego punktu /mcp i wywołać narzędzia w lokalnym serwerze Uni-CLI użytkownika.

W Goobi viewer od wersji 25.01 do przed 26.05 metoda AuthenticationEndpoint.verifyOpenIdToken nie wymusza sprawdzenia roszczenia aud podczas walidacji kryptograficznej, a ręczne sprawdzenie obsługuje tylko pojedynczy łańcuch aud. W konfiguracji z wieloma RP token wydany dla innej strony ufającej może uwierzytelnić atakującego.

W Goobi viewer przed wersją 26.05 metoda Configuration.getWebApiToken zwraca pusty łańcuch, gdy token nie jest skonfigurowany, a AuthorizationFilter porównuje dostarczony token z tym domyślnym bez sprawdzenia, czy skonfigurowany token jest niepusty. Żądanie do chronionego punktu końcowego z pustym parametrem ?token= jest akceptowane.

W Kitodo.Production przed wersją 3.9.2 klasa org.kitodo.production.helper.XMLUtils udostępnia pomocnicze metody parsowania XML, które tworzą parser JAXP w domyślnej, niezabezpieczonej konfiguracji. Uwierzytelniony użytkownik przesyłający plik EAD/XML może wywołać iniekcję XXE prowadzącą do ujawnienia plików lokalnych i żądań SSRF.