Katalog podatności CVE

W PraisonAI od wersji 4.5.110 do przed 4.6.61 SandlockSandbox, który ma być piaskownicą egzekwowaną przez jądro, w przypadku gdy moduł sandlock importuje się, ale zgłasza niedostępność Landlock, nie zawodzi bezpiecznie. Metody execute() i run_command() po cichu przechodzą do SubprocessSandbox, który nie egzekwuje ograniczeń systemu plików ani sieci. Podatność naprawiono w wersji 4.6.61.

W PraisonAI od wersji 4.5.87 do przed 4.6.61 polityka niebezpiecznych narzędzi sprawdza tylko narzędzia zadeklarowane w TEMPLATE.yaml requires.tools. Dla przepisów opartych na krokach workflow.yaml jest ładowany przez YAMLWorkflowParser, który rozwiązuje narzędzia na poziomie agenta i zachowuje approve: na najwyższym poziomie, co pozwala niezaufanemu przepisowi zadeklarować execute_command i samodzielnie go zatwierdzić bez allow_dangerous_tools=True. Podatność naprawiono w wersji 4.6.61.

W praisonai-platform od wersji 0.1.4 do przed 0.1.5 członek obszaru roboczego może trwale usuwać dowolne zasoby (projekty, agentów, zgłoszenia, etykiety, zależności zgłoszeń i załączniki etykiet) utworzone przez właściciela lub innych członków. Wszystkie sześć punktów końcowych DELETE sprawdza członkostwo w obszarze roboczym, ale nie sprawdza własności ani roli. Podatność naprawiono w wersji 0.1.5.

W PraisonAI w wersjach od 4.6.10 do przed 4.6.59 mostek LocalManagedAgent / SandboxedAgent konwertuje operacje na plikach (read_file, list_files, write_file) na polecenia powłoki, używając surowych argumentów ścieżek. Napastnik mogący wpłynąć na argument ścieżki może wyłamać się z cytowanej ścieżki i wykonać dowolne polecenia powłoki w środowisku obliczeniowym (host lub kontener Docker).

W PraisonAI w wersjach od 4.5.126 do przed 4.6.59 walidacja webhook_url w Async Jobs API nie jest powiązana z późniejszym żądaniem sieciowym. Nazwa hosta kontrolowana przez napastnika może najpierw rozwiązać się na publiczny adres IP podczas walidacji, a następnie na adres loopback/prywatny/metadanych chmury podczas dostarczania webhooka, omijając zabezpieczenie SSRF. To niepełna poprawka / obejście dla GHSA-8frj-8q3m-xhgm.

W PraisonAI w wersjach od 2.6.0 do przed 4.6.59 loader szablonów akceptuje URI GitHub z refami i zapisuje ścieżkę oraz ref bez normalizacji, łącząc je w ścieżkę cache bez sprawdzenia, czy pozostaje w katalogu cache. Spreparowany ref z sekwencjami ../ pozwala wyjść poza katalog cache, zapisać .cache_meta.json poza nim, a w pewnych warunkach usunąć katalog poza cache przez shutil.rmtree.

W XDG Desktop Portal przed wersją 1.22.1 złośliwe aplikacje w sandboxie mogą użyć metody FileTransfer.RetrieveFiles, aby przekierować do siebie dane drag-and-drop i copy-paste przeznaczone dla innych aplikacji. Tokeny dostępu były generowane za pomocą g_random_int lub g_uuid_string_random opartych na Mersenne Twister, co pozwala na odtworzenie stanu PRNG i przewidzenie kolejnych tokenów.

W XDG Desktop Portal przed wersją 1.22.1 złośliwe aplikacje w sandboxie mogą użyć metody FileChooser.SaveFiles, aby uzyskać dostęp do nieistniejących plików na hoście (ograniczony do plików, do których użytkownik ma dostęp). Nazwy plików nie są walidowane przez frontend ani przez typowe backendy, które powinny sprawdzać, czy plik jeszcze nie istnieje.

@hapi/content w wersjach od 6.0.1 do przed 6.0.3 zawiera podatność na atak typu regular expression denial of service w Content.disposition(), spowodowaną niepełną poprawką CVE-2026-35213. Nieuwierzytelniony zdalny napastnik może wysłać multipart upload z długim parametrem Content-Disposition bez znaku równości, wywołując kwadratowe cofanie i blokując pętlę zdarzeń.

Motyw WordPress KALLYAS (Hogash) w wersjach do 4.25.0 zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Napastnik może nakłonić użytkownika do kliknięcia spreparowanego linku, co prowadzi do wykonania złośliwego skryptu w przeglądarce ofiary.

Motyw WordPress Helion (ThemeREX Group) w wersjach do 1.1.12 zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów (Object Injection). Może to prowadzić do nieoczekiwanego zachowania aplikacji lub wykonania kodu w zależności od dostępnych gadgetów.

Motyw WordPress Your Dress (AncoraThemes) w wersjach do 1.4.1 zawiera podatność typu PHP Local File Inclusion wynikającą z niewłaściwej kontroli nazwy pliku w instrukcjach include/require. Napastnik może dołączyć lokalne pliki PHP, co może prowadzić do wykonania kodu lub ujawnienia informacji.

Motyw WordPress Hostme v2 (AivahThemes) w wersjach do 7.0 zawiera podatność typu DOM-Based Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Napastnik może nakłonić użytkownika do interakcji ze spreparowaną stroną, co prowadzi do wykonania złośliwego skryptu w przeglądarce ofiary.

W jądrze Linux w sterowniku dpaa2-switch ścieżka błędu w dpaa2_switch_rx() niepoprawnie wywoływała dpaa2_switch_free_fd(), która jest przeznaczona dla deskryptorów Tx i oczekuje wskaźnika skb. Poprawka przenosi dma_unmap_page() do dpaa2_switch_rx() i używa free_pages() lub kfree_skb() zależnie od etapu błędu.

W jądrze Linux w podsystemie netfilter ipset obszary chronione blokadą RCU nie są prawidłowo oznaczane. Po zwiększeniu licznika uref nie ma potrzeby utrzymywania blokady RCU, ponieważ odwoływana tablica hash nie może zniknąć. Poprawka koryguje użycie blokad RCU i spinlock w mtype_gc.

W jądrze Linux w sterowniku net/mlx5 HWS występuje problem podczas niszczenia tabeli, która ma tabelę miss utworzoną przez mlx5hws_table_set_default_miss. Tabela miss przechowuje w liście tabelę, która na nią wskazuje. Przy usuwaniu takiej tabeli nie jest ona usuwana z listy tabeli miss, co pozostawia węzeł z nieprawidłowymi danymi.

W jądrze Linux w sterowniku wifi iwlwifi mvm skanowanie zaplanowane budowało probe request przed sprawdzeniem iwl_mvm_scan_fits(), więc zbyt duże IE mogły zostać skopiowane do stałego bufora preq przed walidacją długości. Poprawka przenosi iwl_mvm_build_scan_probe() po sprawdzeniu fits oraz zgłasza max_sched_scan_ie_len za pomocą iwl_mvm_max_scan_ie_len(), aby limity przestrzeni użytkownika uwzględniały bajty DS/TPC wstawiane przez sterownik.

W jądrze Linux serwer ksmbd usuwał kanały połączenia z list innych sesji tylko gdy conn->binding było ustawione, co po wyczyszczeniu flagi pozostawiało wiszące kanały wskazujące na zwolnioną strukturę ksmbd_conn. Prowadziło to do use-after-free przy rozłączaniu i wycieku sesji. Poprawka usuwa warunek conn->binding.

W PraisonAI komponent praisonai.bots.HTTPApproval renderuje argumenty oczekującego zatwierdzenia narzędzia bezpośrednio do HTML panelu zatwierdzeń. Argument narzędzia kontrolowany przez atakującego może wstrzyknąć JavaScript do tej strony. Gdy człowiek otworzy URL zatwierdzenia, skrypt wykona się w origin panelu i może wysłać żądanie POST do endpointu /approve/{request_id}/decide, powodując zwrócenie approved=True.

W PraisonAI ścieżka recipe.run() egzekwuje politykę blokowania domyślnie zabronionych niebezpiecznych narzędzi przez _check_tool_policy(), ale ścieżka strumieniowa recipe.run_stream() ładuje tę samą receptę i wywołuje _execute_recipe() bez tej kontroli. W rezultacie recepta deklarująca execute_command w requires.tools jest odrzucana przez recipe.run(), ale osiąga silnik wykonania przez recipe.run_stream() mimo allow_dangerous_tools=False.