Katalog podatności CVE

Podatność w Apache Wicket dotyczy komponentu FileUploadToResourceField, którego callback Ajax odczytuje parametr filesInfo bez powiązania go z rzeczywistym uploadem. Metoda UploadInfo#get() alokuje tablicę bajtów na podstawie rozmiaru podanego przez klienta, co pozwala na wyczerpanie sterty JVM pojedynczym żądaniem, a wartości ujemne powodują wyjątek NegativeArraySizeException.

Podatność w Apache Wicket dotyczy metody JavaScriptUtils#escapeQuotes(), która nie escapuje znaku backslash przed cudzysłowami. Wartość zawierająca backslash bezpośrednio przed cudzysłowem powoduje, że cudzysłów nie jest escapowany i zamyka literał JavaScript, umożliwiając wstrzyknięcie kodu JavaScript. Problem występuje, gdy aplikacja używa tej metody do osadzenia danych kontrolowanych przez atakującego w literale JavaScript, m.in. przez komponent AjaxEditableLabel.

Podatność typu cross-site scripting (XSS) w komponentach SmartLinkLabel i SmartLinkMultiLineLabel biblioteki Apache Wicket. Komponenty te zamieniają znalezione w tekście adresy URL w hiperłącza, akceptując dowolny schemat URL — w tym schematy wykonujące skrypt, takie jak javascript:. Eskapowanie wartości modelu nie chroni, ponieważ payload trafia do atrybutu href, a nie do tekstu elementu.

Podatność typu cross-site scripting (XSS) w Apache Wicket dotyczy zachowania AjaxNewWindowNotifyingBehavior, które zapisuje w stanie strony wartość window.name przesłaną przez klienta. Wartość ta jest później wstawiana bez escapowania do literału JavaScript w preconditions wywołania Ajax, co pozwala na wykonanie dowolnego skryptu w kontekście aplikacji przy każdym renderowaniu strony. Podatność występuje tylko w aplikacjach, które jawnie dodały to zachowanie do komponentu.

Apache Wicket zapisuje teksty z resource bundle (etykiety, nazwy klas CSS) do generowanego JavaScriptu i znaczników HTML bez odpowiedniego escapowania dla kontekstu. Tekst zawierający apostrof lub cudzysłów może przerwać literał lub atrybut, a następnie zostać zinterpretowany jako skrypt lub znacznik w origin aplikacji. Problem dotyczy m.in. MultiFileUploadField, Form, UploadProgressBar, FilterForm i TrapFocusBehavior w wersjach 8.0.0–8.19.0, 9.0.0–9.24.0 i 10.0.0–10.11.0.

Podatność typu session fixation w Apache Wicket dotyczy klasy AuthenticatedWebSession i metody signIn(String, String). Identyfikator sesji jest odnawiany tylko przy pierwszym logowaniu, a nie przy ponownej autoryzacji już zalogowanej sesji, mimo że metoda zwraca true w obu przypadkach. Wykorzystanie wymaga umieszczenia przez atakującego wybranego identyfikatora sesji w przeglądarce ofiary, np. przez kontrolę hosta w tej samej domenie rejestrowanej lub konfigurację kontenera przenoszącego identyfikator sesji w URL.

W urządzeniach Ruijie RG-ES205GC, RG-ES206GC-P, RG-ES208GC, RG-ES210GC-LP i RG-ES210GS-P (wersja ESW_1.0(1)B1P48) wykryto podatność w nieznanej funkcji pliku httpupg.cgi, należącego do interfejsu lokalnej aktualizacji firmware. Manipulacja danymi prowadzi do przepełnienia bufora (buffer overflow). Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.

Wtyczka WordPress File Upload (Nickboss) zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 5.2.1 włącznie.

W produkcie Horizon DataSys Reboot Restore Standard do wersji 13.2 zidentyfikowano podatność w funkcji sub_23908 biblioteki shield.sys komponentu Kernel Driver. Manipulacja prowadzi do uszkodzenia pamięci. Atak można przeprowadzić wyłącznie lokalnie, a exploit jest publicznie dostępny.

W produkcie Presenton w wersjach do 0.9.11-beta wykryto słabość w nieokreślonej funkcjonalności komponentu API, polegającą na braku uwierzytelniania. Atak można zainicjować zdalnie, a exploit został publicznie udostępniony. Aktualizacja do wersji 0.9.12-beta rozwiązuje problem.

W bibliotekach Java Apache Thrift występuje podatność niekontrolowanej rekurencji. Problem dotyczy wersji Apache Thrift wcześniejszych niż 0.24.0. Został naprawiony w wersji 0.24.0.

Podatność CVE-2026-118147 dotyczy nieprawidłowej walidacji certyfikatów w Visual Studio. Nieuwierzytelniony atakujący może wykorzystać tę lukę do przeprowadzenia ataku typu spoofing w sieci.

libheif w wersji 1.18.0 przed 1.23.3 zawiera podatność przepełnienia bufora opartego na stercie w funkcji unc_decoder_mixed_interleave::processTile(), która pozwala atakującym na zapis poza granicami bufora poprzez dostarczenie komponentów chrominancji o nierównych głębiach bitowych. Atakujący może spreparować plik HEIF deklarujący np. 16-bitowy Cb i 8-bitowy Cr, aby wywołać kontrolowane przez plik zapisy sterty poza płaszczyzną Cr, potencjalnie osiągając wykonanie kodu w potokach przetwarzania obrazów.

Moduł Thelia Page przed wersją 2.0.4 zawiera podatność cross-site request forgery, która pozwala zdalnym atakującym usuwać tagi stron, dokumenty i obrazy poprzez wykorzystanie tras usuwania w panelu administracyjnym pozbawionych tokenów CSRF i kontroli uprawnień. Atakujący może nakłonić zalogowanego administratora do przejścia na spreparowane żądania GET, które iterują kolejne identyfikatory, usuwając obrazy TheliaLibrary, ich pliki i warianty w obrębie stron, produktów i kategorii.

Thelia przed wersją 3.1.0 zawiera podatność przechowywanego cross-site scripting w funkcji ForSomeCustomers::getSummary(), która pozwala nieuwierzytelnionym atakującym wstrzykiwać skrypty poprzez nieescapowane nazwy klientów. Atakujący może zarejestrować się z ładunkiem skryptu jako nazwą, który wykonuje się, gdy administratorzy przeglądają powiązane kupony, kradnąc tokeny CSRF w celu utworzenia kont administratorów.

ShowDoc w wersji 2.8.14 przed 3.9.6 zawiera podatność wstrzyknięcia kodu w funkcji Mock, która pozwala uwierzytelnionym użytkownikom wykonywać polecenia powłoki poprzez szablony mockjs. Atakujący może zapisać szablon przez MockController::add z escapowanymi nawiasami, który mockjs ewaluuje za pomocą eval(), a następnie wywołać go przez MockController::infoByKey, aby uruchomić polecenia, w oficjalnym obrazie Docker jako root.

Przepełnienie bufora na stercie w firmware Opengear IM72XX, CM71XX i ACM70XX w wersjach 4.8.0–5.5.2 na urządzeniach console server. Nieuwierzytelniony zdalny atakujący może spowodować awarię procesu index.cgi poprzez spreparowane żądanie POST multipart/form-data z nadmiernie długim polem name w nagłówku Content-Disposition.

Wtyczka NextGEN Gallery dla WordPressa (do wersji 4.4.1) jest podatna na zdalne wykonanie kodu w funkcji render_image. Luka wynika z nieograniczonego przypisywania kluczy meta_data dostarczonych przez użytkownika do modelu obrazu, braku kontroli realpath w konstrukcji ścieżek oraz obejścia sprawdzania podpisu na publicznej trasie dostarczania obrazów. Uwierzytelniony atakujący z dostępem na poziomie custom może wykonać kod na serwerze.

W bibliotece json-glib wykryto błąd, w którym ewaluator wycinków JSONPath używany przez json_path_query() może wejść w nieskończoną pętlę przy wyrażeniu wycinka z ujemnym krokiem. Aplikacja oceniająca wyrażenia JSONPath kontrolowane przez atakującego może zostać zawieszona, co prowadzi do odmowy usługi.

Wtyczka Debug Log Manager dla WordPressa (do wersji 2.5.2) jest podatna na przechowywany cross-site scripting poprzez parametr 'message (and pageUrl)' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonego logowania debugowania z aktywnym logowaniem błędów JS oraz uzyskania publicznie emitowanego nonce dlmVars.jsErrorLogging.