Katalog podatności CVE

W baserCMS globalne rozwijanie shortcode'ów odbywa się na całej wyrenderowanej stronie, w tym na komentarzach blogowych escapowanych w HTML, dostarczanych przez nieuwierzytelnionych odwiedzających. Komentarz zawierający shortcode BcBaser.getGoogleMaps może ustawić apiBaseUrl na kontrolowany przez atakującego URL skryptu, który jest emitowany jako src skryptu i wykonuje JavaScript w domenie witryny, gdy inny odwiedzający lub administrator otworzy artykuł z tym komentarzem. Escapowanie surowego HTML w komentarzach nie zapobiega temu przechowywanemu XSS, ponieważ przetwarzanie shortcode'ów następuje po renderowaniu HTML.

W baserCMS encja widget-area serializuje widgety tylko wtedy, gdy przesłana wartość jest tablicą, co pozwala na zapisanie ciągu znaków przesłanego przez administracyjne API JSON bez zmian. Odczyt encji, w tym renderowanie front-endu i odpowiedzi API, deserializuje zapisaną wartość za pomocą unserialize() bez ograniczenia allowed_classes, akceptując zarówno surowe, jak i base64-zakodowane dane serializowane. Administrator lub atakujący, który uzyska możliwość zapisu widgetów poprzez inną podatność, taką jak łańcuch XSS, może umieścić graf obiektów, który następnie uruchamia się przy nieuwierzytelnionych żądaniach stron.

W opcjonalnej wtyczce BcThemeFile w baserCMS administracyjne API waliduje surową ścieżkę w ThemeFilesService::update() i getFullpath(), ale ThemeFileForm::_execute() następnie stosuje rawurldecode() do fullpath przed zapisem. Ponieważ normalizePath() rozwiązuje tylko literalne segmenty kropkowe, procentowo zakodowane przejście może ominąć sprawdzenia zawierania i stać się ścieżką poza katalogiem motywu w miejscu zapisu. Uwierzytelniony administrator może zapisywać pliki PHP w miejscach takich jak webroot i je wykonywać, przekraczając zamierzoną granicę edycji szablonów motywu.

W baserCMS akcje list i detail w prefiksach Admin i Api/Admin przekazują parametry zapytania (w tym contain, conditions, fields, finder i order) bezpośrednio do ORM jako opcje. Użytkownik mogący zalogować się do panelu administracyjnego może osadzić fragmenty SQL w tych opcjach, aby wykonać dowolny SQL na bazie danych aplikacji, w tym odczytać hasła z tabeli użytkowników. Poprawki dla publicznych stron i API wydane w wersjach 5.3.1 i 5.4.1 nie chroniły tych ścieżek administracyjnych.

Brak autoryzacji w uprzywilejowanym systemowo binderze 'DJIUpdateService' w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala lokalnej aplikacji bez uprawnień wywoływać uprzywilejowane operacje, w tym przywrócenie ustawień fabrycznych z czyszczeniem danych użytkownika (transakcja 153), wyłączenie (105), zmianę zegara/strefy czasowej (101/123) oraz przekazanie do zastosowania firmware'u (151), ponieważ onTransact() nie sprawdza tożsamości wywołującego ani uprawnień.

Wstrzyknięcie poleceń systemu operacyjnego w uprzywilejowanym jako root pomocniku 'hardware_monitor' w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala lokalnemu nieuprzywilejowanemu procesowi wykonać dowolne polecenia jako root poprzez zapisanie spreparowanej linii do logu Androida (logcat), którą pomocnik odczytuje i przekazuje do powłoki eval.

Brak autoryzacji w natywnym serwisie binder 'android.dji.server' (kod transakcji 1018) w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala lokalnej aplikacji bez uprawnień wykonać dowolne polecenia systemu operacyjnego jako root, ponieważ handler przekazuje ciąg znaków dostarczony przez wywołującego do system() w uprzywilejowanym jako root demonie 'assistant' bez sprawdzania tożsamości wywołującego ani uprawnień.

Ukryta funkcjonalność (nieudokumentowane backdoor) w uprzywilejowanym jako root demonie 'assistant' w firmware DJI CrystalSky ZS600C w wersjach od v0.3.9.7 do v0.6.6.9 na Androidzie pozwala fizycznie obecnemu atakującemu z dostępem USB wykonać dowolne polecenia systemu operacyjnego jako root poprzez wysłanie zaszytego na stałe ciągu magicznego 'dji26656677' do interfejsu szeregowego gadżetu USB (/dev/ttyGS0), po czym każda kolejna linia jest przekazywana do system().

Podatność typu reflected XSS w Classic Web Client Zimbra Collaboration Suite pozwala atakującemu wstrzyknąć JavaScript przez parametr packages edytora dokumentów /h/rest. Edytor wstawia nazwy pakietów do atrybutów skryptu bez kodowania HTML. W połączeniu z CVE-2026-50053 atakujący z zwykłym kontem Zimbra może wykonać JavaScript w sesji przeglądarki innego zalogowanego użytkownika.

W jądrze Linux serwer ksmbd ma błąd zapisu poza granice sterty w funkcji krb5_authenticate(). Gdy SMB2_SESSION_SETUP jest przetwarzane jako niepierwszy element złożonego żądania SMB2, obliczenie out_len pomija work->next_smb2_rsp_hdr_off, co zawyża dostępne miejsce w buforze i pozwala memcpy() zapisać blob AP-REP poza response_buf. Poprawka odejmuje tę wartość przy obliczaniu out_len.

W jądrze Linux naprawiono błąd w KVM na architekturze x86 dotyczący pamięci podręcznej MMIO dla poszczególnych vCPU. Cache był oznaczany generacją memslotów, ale zarówno przy wypełnianiu, jak i walidacji używano kvm_memslots() wybierającego bezwarunkowo przestrzeń adresową 0, nawet gdy vCPU działał w trybie SMM i korzystał z przestrzeni adresowej 1. W rezultacie aktualizacja memslotów SMM mogła pozostawić pozornie ważny wpis z dawnej przestrzeni SMM po powrocie vCPU do normalnej przestrzeni adresowej, co pozwalało gościowi wymusić wyjście KVM_EXIT_MMIO dla prawidłowego RAM.

W jądrze Linux w sterowniku bnxt_en występuje błąd mapowania DMA dla małych pakietów z dopełnieniem. Funkcja bnxt_start_xmit() dopełnia pakiety mniejsze niż 52 bajty, ale długość przekazywana do dma_map_single() pozostaje niezmieniona, przez co karta sieciowa odczytuje więcej bajtów niż zmapowano, powodując błąd IOMMU i timeout kolejki transmisji.

W jądrze Linux naprawiono podatność w obsłudze protokołu IPv4/UDP, która pozwalała atakującemu spoza ścieżki na przeprowadzenie ataku side-channel na cache wyjątków FIB (FNHE). Poprzednio wyjątek był tworzony tylko wtedy, gdy pakiet UDP można było dopasować do istniejącego gniazda, co umożliwiało odkrycie efemerycznego portu używanego przez połączone gniazdo UDP. Poprawka polega na zawsze tworzeniu FNHE przed próbą dopasowania gniazda.

W jądrze Linux funkcja cipso_v4_skbuff_delattr() usuwa bajty CIPSO, ale nie koryguje buforowanych przesunięć opcji następujących po nich (srr, rr, ts, router_alert). Konsumenci tacy jak ip_forward_options() i __ip_options_echo() odczytują wtedy niewłaściwe bajty, a ten drugi może potraktować dane pakietu jako długość opcji i skopiować je do bufora o stałym rozmiarze.

W jądrze Linux w module WireGuard (podsystem noise) występuje błąd wyścigu podczas przetwarzania tej samej wiadomości odpowiedzi handshake przez wiele wątków. Może to doprowadzić do ponownego użycia stanu sesji i utworzenia nowej sesji na podstawie nieaktualnego stanu handshake. Podatność jest trudna do wykorzystania w praktyce, ale została załatana przez porównanie efemerycznego klucza prywatnego ze stanem handshake peera.

W jądrze Linux mechanizm strparser nie gwarantował, że wywołania __strp_recv zakończą się przed zniszczeniem parsera w strp_done(). Dodano parę lock_sock/release_sock, aby zapewnić zakończenie trwających wywołań strp_recv, oraz zmieniono bity stanu na u8, aby uniknąć wyścigów między strp_stop() a strp_pause/unpause().

W jądrze Linux funkcja tipc_topsrv_stop() zamykała połączenia subskrybentów, podczas gdy kolejki robocze serwera topologii nadal działały. Powodowało to wyścigi prowadzące do błędów refcount, use-after-free w tipc_conn_close(), queue_work() na zniszczonej kolejce oraz RCU stall w tipc_topsrv_exit_net(). Poprawka czyści flagę pod idr_lock, niszczy kolejki robocze przed zamknięciem połączeń i odmawia tipc_conn_lookup() po wyczyszczeniu flagi.

W jądrze Linux w module TIPC funkcja tipc_node_find_by_name() zwracała wskaźnik do węzła po zwolnieniu blokady RCU, nie pobierając referencji. Obsługiwacze LINK_SET, LINK_GET i LINK_RESET_STATS mogły następnie używać zwolnionego węzła, co prowadziło do use-after-free (wykryte przez KASAN).

W jądrze Linux funkcja __fsverity_get_info() używa rhashtable_lookup_fast() z rcu_read_lock(), co nie synchronizuje się bezpośrednio z fsverity_remove_info(). Dla różnych inode'ów równoległe wywołania mogą powodować use-after-free, ponieważ polegają na fsverity_info::rhash_head i fsverity_info::inode po zwolnieniu. Poprawka opóźnia zwolnienie struct fsverity_info przez RCU po usunięciu z rhashtable.

W jądrze Linux sterownik gpio-mpsse w gpio_mpsse_irq_enable() uruchamiał worker poll przed dodaniem go do listy priv->workers. Jeśli gpio_mpsse_disconnect() przechodził listę w tym oknie, pomijał worker, a po zwolnieniu mpsse_priv osierocony gpio_mpsse_poll() nadal uzyskiwał do niego dostęp, powodując use-after-free. Poprawka publikuje i uzbraja worker w jednej sekcji krytycznej irq_spin oraz dodaje flagę priv->dying.