Katalog podatności CVE

Specjalnie spreparowane dane wejściowe CBOR przekazane do QCborValue::fromCbor() w Qt Core mogą spowodować odczyt poza granicami bufora, co może doprowadzić do awarii aplikacji i potencjalnie ujawnić informacje.

Złośliwy lub przejęty serwer HTTP/2, wstrzymując SETTINGS ACK, może wysłać RST_STREAM na zakończonym strumieniu, wprowadzając wskaźnik null, a następnie wysłać PUSH_PROMISE dla tego strumienia, powodując dereferencję wskaźnika null w klasie QNetworkAccessManager modułu Qt Network i awarię aplikacji.

Wykryto podatność bezpieczeństwa w bibliotece libimobiledevice do wersji 1.4.0. Dotyczy ona funkcji afc_file_open w pliku src/afc.c, w komponencie AFC File Handler. Manipulacja argumentem bytes prowadzi do odczytu poza granicami bufora (out-of-bounds read), a atak można zainicjować zdalnie.

W aplikacji ffxiv-teamcraft FFXIV Teamcraft do wersji 11.4.31 podatna jest funkcja clipboard.readText w pliku apps/electron/src/preload.ts komponentu Renderer-Process IPC Bridge. Manipulacja powoduje cross site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a poprawka jest w wersji 11.4.32.

W produkcie 777genius agent-teams-ai do wersji 2.17.10 wykryto podatność w funkcji doStart pliku src/main/services/infrastructure/HttpServer.ts komponentu Local HTTP Service. Manipulacja prowadzi do braku uwierzytelniania. Atak jest możliwy wyłącznie z dostępu lokalnego, a exploit został publicznie ujawniony.

W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanym kodzie komponentu Virtual Server Page. Manipulacja prowadzi do cross site scripting. Zdalne wykorzystanie ataku jest możliwe, a exploit został publicznie ujawniony.

W NocoDB do wersji 2026.07.0 funkcja validatePassword w pliku /auth/user/signup nie ogranicza w wystarczający sposób nadmiernej liczby prób uwierzytelnienia. Luka umożliwia zdalny atak o wysokiej złożoności, a producent opisuje to zachowanie jako zamierzone. Zgłoszenie GitHub zostało usunięte bez wyjaśnienia, a kontakt e-mailowy pozostał bez odpowiedzi.

W NocoDB do wersji 2026.07.0 funkcja AuthService.validateUser w komponencie endpointu logowania, przy manipulacji argumentem salt, prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, charakteryzuje się on wysoką złożonością i jest oceniany jako trudny do wykorzystania. Producent usunął zgłoszenie GitHub bez wyjaśnienia i nie odpowiedział na kontakt e-mailowy.

W NocoDB do wersji 2026.08.0 nieokreślone przetwarzanie w pliku users.service.ts w komponencie rejestracji prowadzi do sytuacji wyścigu (race condition). Atak można przeprowadzić zdalnie, wymaga on wysokiego poziomu złożoności i jest oceniany jako trudny do wykorzystania. Producent usunął zgłoszenie GitHub bez wyjaśnienia i nie odpowiedział na kontakt e-mailowy.

W kamerze Yoosee GM8135S w wersji 21.00.01.36 wykryto podatność w pliku wpa_supplicantX.conf w komponencie konfiguracji WiFi. Nieprawidłowa inicjalizacja może zostać wykorzystana przez atakującego w sieci lokalnej. Exploit jest publicznie ujawniony, a atak cechuje się wysoką złożonością.

W kamerze Yoosee GM8135S w wersji 21.00.01.36 zidentyfikowano słabość w pliku /npc/npc w komponencie obsługi strumienia wideo Live UDP H.264. Manipulacja powoduje przesyłanie poufnych informacji w postaci niezaszyfrowanej. Atak można zainicjować zdalnie, choć cechuje się wysoką złożonością.

W aplikacji HeyCyan App 1.0.103 na Androida zidentyfikowano słabość w nieznanej funkcji pliku AndroidManifest.xml komponentu Network Security Configuration, która może prowadzić do przesyłania poufnych informacji w postaci jawnej. Atak może być zainicjowany zdalnie, wymaga jednak wysokiego poziomu złożoności, a jego wykorzystanie określono jako trudne. Producent został wcześnie powiadomiony, ale nie odpowiedział.

W gougucms do wersji 4.08.18 wykryto lukę w funkcji Add w pliku app/admin/controller/Level.php (komponent User Level Handler). Manipulacja argumentem Title prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

Wykryto podatność bezpieczeństwa w SH3, dotykającą nieznanej funkcji komponentu Módulo de Gestão/Módulo de Arrecadação. Manipulacja prowadzi do użycia hasha hasła o niewystarczającym nakładzie obliczeniowym. Atak jest możliwy zdalnie, ale wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit został publicznie ujawniony i może być użyty.

Edgeless Systems Contrast w wersjach od 1.21.0 przed 1.25.0 zawiera błąd niedeterministycznego wyboru rejestru w imagepuller, który może preferować wpisy konfiguracji z wildcardem nad konkretnymi dopasowaniami domen. Gdy konfiguracja pobierania zawiera zarówno konkretną domenę, jak i jej nadrzędny wildcard, poświadczenia rejestru, pakiety CA lub ustawienia mirrora przeznaczone dla wildcardu mogą zostać zastosowane do konkretnego rejestru, ujawniając poświadczenia lub metadane pobierania.

rclone w wersjach od v1.56.0 przed v1.75.2 zawiera podatność na ujawnienie informacji w backendzie WebDAV, która przekazuje skonfigurowane przez operatora niestandardowe nagłówki poświadczeń do innych hostów przy przekierowaniach HTTP 3xx. Atakujący kontrolujący lub wpływający na przekierowanie między hostami może przechwycić nagłówki, takie jak X-Auth-Token ustawiony przez --webdav-headers, i odtworzyć je wobec oryginalnej usługi WebDAV.

OpenRemote core (openremote-manager) przed 1.31.0 nie wykonuje autoryzacji realm ani potomnych bramy dla przychodzących zdarzeń bramy brzegowej i mapuje identyfikatory zasobów zdarzeń wyłącznie przez odwracalną transformację GatewayConnector.mapAssetId. Atakujący kontrolujący zarejestrowaną bramę może spreparować identyfikatory pre-image w komunikatach AttributeEvent lub DELETE AssetEvent, aby nadpisać atrybuty lub usunąć zasoby w dowolnym realm, naruszając izolację dzierżawców.

OpenRemote przed 1.31.0 zawiera podatność na obejście autoryzacji, która pozwala administratorom realm podszywać się pod bramy w innych realmach, ponieważ GatewayService sprawdza tylko identyfikator bramy, a nie realm. Atakujący z uprawnieniem WRITE:ADMIN w jednym realm może utworzyć użytkownika usługi o nazwie odpowiadającej identyfikatorowi bramy innego realm, aby nadpisać jej zasoby potomne i otworzyć tunele SSH do jej sieci lokalnej.

Parse Server przed 8.6.104 oraz 9.0.0 przed 9.10.5-alpha.5 zapisuje całe żądanie logowania z uprawnieniami master podczas wydawania kodu weryfikacyjnego SMS MFA. Użytkownik z włączonym SMS MFA może dołączyć dodatkowe pola do tego żądania, aby zmodyfikować pola zastrzeżone dla klucza master na własnym koncie, takie jak flaga weryfikacji e-mail lub wartości chronione przez beforeSave.

ImageMagick przed 6.9.13-58 oraz 7.x przed 7.1.2-33 zawiera przepełnienie bufora oparte na stercie w operacji animate X11 podczas przetwarzania spreparowanych obrazów. Atakujący może dostarczyć złośliwy obraz, który po uruchomieniu operacji animate X11 nadpisuje pamięć sterty i może spowodować awarię aplikacji.