Katalog podatności CVE

Podatność polegająca na zaszytych na stałe poświadczeniach w oprogramowaniu układowym wielu routerów TP-Link (TL-WR845N v4, TL-WR850N v3, TL-WR902AC v4, Archer C20 v6 i Archer MR200 v5). Materiał poświadczeń jest osadzony w pliku haseł w obrazie oprogramowania i może zostać odzyskany poprzez analizę oprogramowania. Udane wykorzystanie może prowadzić do nieautoryzowanego dostępu do uprzywilejowanych funkcji urządzenia.

Osoby z dostępem do odczytu repozytorium mogą uzyskać dostęp do właściwości środowiska innego repozytorium. Atakujący z dostępem do zwykłego repozytorium może wybrać parametr czytelnego repozytorium podczas pobierania właściwości środowiska dla chronionego buildu, ujawniając sekrety środowiska buildu (wpływ na poufność, brak wpływu na integralność lub dostępność).

Użytkownik z dostępem do odczytu zdalnego repozytorium Cargo w JFrog Artifactory może spowodować, że Artifactory wyśle żądania do nieprzewidzianych URL-i i zwróci odpowiedź.

Obsługa zdalnych repozytoriów Terraform w JFrog Artifactory jest podatna na Server-Side Request Forgery (SSRF). Uwierzytelniony użytkownik (lub nieuwierzytelniony, jeśli włączony jest dostęp anonimowy) może spowodować, że Artifactory wyśle żądania HTTP do dowolnych miejsc i otrzyma treść odpowiedzi.

Słabość walidacji URL-i w obsłudze repozytoriów Ansible w JFrog Artifactory może pozwolić użytkownikowi, przy spełnieniu określonych warunków dostępu do repozytorium, na wywołanie nieprzewidzianych żądań po stronie serwera. Problem dotyczy głównie poufności i integralności i został rozwiązany w poprawionych wersjach Artifactory.

Nieprawidłowa walidacja URL-i podczas obsługi określonych adresów URL umożliwia atakującemu, w pewnych warunkach, wysyłanie nieautoryzowanych żądań z JFrog Artifactory, potencjalnie ujawniając wewnętrzne usługi i buforowane dane odpowiedzi.

W Next.js, gdy Server Action przekierowuje lub forwarduje żądanie, atakujący może spowodować wysłanie tego żądania do złośliwego hosta (SSRF). W niektórych konfiguracjach możliwe jest również uzyskanie wewnętrznych wartości osłabiających autoryzację proxy/middleware.

Next.js to framework React do budowania pełnostackowych aplikacji webowych. W wersjach 12.0.0 do 15.5.20 oraz 16.0.0 do 16.2.10, fetch po stronie serwera z ciałem żądania może zwrócić buforowaną treść odpowiedzi z innego żądania do tego samego URL-a, ale z innym ciałem. Poufne dane w treści odpowiedzi POST mogą wyciec do nieautoryzowanych żądań. Problem został naprawiony w wersjach 15.5.21 i 16.2.11.

Astro to framework webowy dla stron opartych na treści. Wersje przed 7.0.6 są podatne na XSS poprzez nieuciekające nazwy atrybutów spread w renderHTMLElement. Poprawka dla CVE-2026-54298 dodała zabezpieczenie INVALID_ATTR_NAME_CHAR w addAttribute(), ale druga ścieżka renderowania atrybutów, renderHTMLElement(), nie została zaktualizowana i interpoluje nazwę atrybutu bez ucieczki, co pozwala na atak XSS. Problem został naprawiony w wersji 7.0.6.

Znaleziono błąd we wtyczce file-sgi w GIMP. Podczas przetwarzania obrazu SGI skompresowanego RLE, wtyczka alokuje pamięć dla tablicy wierszy. Wymiary nagłówka obrazu (ysize i zsize) są odczytywane jako 16-bitowe liczby całkowite bez znaku. Jeśli spreparowany plik ustawi oba wymiary na maksymalną wartość (65535), mnożenie ysize * zsize powoduje przepełnienie standardowej 32-bitowej liczby całkowitej przed przekazaniem do calloc. To przepełnienie liczb całkowitych prowadzi do niezdefiniowanego zachowania, przerywając działanie wtyczki i powodując odmowę usługi.

Ekushey Project Manager CRM w wersji do 5.0 zawiera podatność na trwałe XSS (stored cross-site scripting), która umożliwia uwierzytelnionym użytkownikom-klientom wstrzyknięcie dowolnego HTML i JavaScript poprzez wprowadzenie złośliwych ładunków w polu Reply Ticket. Atakujący mogą stworzyć i przechowywać złośliwe skrypty, które wykonują się w sesjach przeglądarki personelu lub administratorów przeglądających stronę szczegółów zgłoszenia.

W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, pobieranie po stronie serwera z ciałem żądania może zwrócić buforowaną odpowiedź z innego żądania do tego samego URL, ale z innym ciałem. Prowadzi to do wycieku poufnych danych z odpowiedzi POST do nieautoryzowanych żądań. Problem występuje tylko przy ciałach żądań z zestawem znaków innym niż UTF-8.

W Next.js w wersjach 13.0.0 do 15.5.20 i 16.0.0 do 16.2.10, żądania kierowane do aplikacji używających App Router z co najmniej jedną Server Action mogą prowadzić do nadmiernego zużycia pamięci, jeśli ta Server Action używa środowiska wykonawczego Edge.

Kamery Honeywell S35 Series (3M/5M/8M/PinHole) w wersjach do HC5.26.1.14.20260207 zawierają podatność na ujawnienie dziennika audytu, która pozwala atakującemu na dostęp do dzienników audytu bez uwierzytelnienia, potencjalnie prowadząc do ujawnienia poufnych informacji.

W Zephyr RTOS w wersjach od v3.3.0 do v4.4.1, funkcja weryfikatora przestrzeni użytkownika z_vrfy_log_filter_set() wykonuje porównanie ze znakiem dla parametru src_id, co pozwala na przekazanie ujemnej wartości. Prowadzi to do odczytu i zapisu poza zakresem w tablicy log_dynamic, co może być wykorzystane do eskalacji uprawnień w trybie nadzorcy.

W Ekushey Project Manager CRM w wersji 5.0 i wcześniejszych wykryto podatność na trwałe ataki XSS. Uwierzytelnieni klienci mogą wstrzyknąć złośliwy kod HTML i JavaScript w polu tytułu zgłoszenia na stronie tworzenia nowego zgłoszenia, który następnie jest wyświetlany bez sanityzacji na stronie pomocy technicznej.

Ekushey Project Manager CRM w wersji do 5.0 zawiera podatność na trwałe XSS, która pozwala uwierzytelnionym użytkownikom-klientom na wstrzykiwanie dowolnego HTML i JavaScript przez pole Name na stronie Edit Profile. Złośliwe skrypty wykonują się w sesjach przeglądarki personelu lub administratorów przeglądających strony Manage Clients lub Manage Client Projects.

Ekushey Project Manager CRM w wersji do 5.0 zawiera podatność braku unikalności, która pozwala uwierzytelnionym administratorom na tworzenie duplikatów kont klientów z identycznym adresem e-mail i hasłem. Atakujący mogą wykorzystać brak wymuszania unikalności pola e-mail do tworzenia konfliktowych stanów kont, prowadząc do nieprzewidywalnego uwierzytelniania i nieautoryzowanego dostępu do kont.

Next.js w wersjach 12.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w regułach rewrites()/redirects() z zewnętrznym hostem pochodzącym z żądania. Atakujący może przekierować żądanie na dowolny host, co prowadzi do SSRF (dla rewrite) lub Open Redirect (dla redirect).

W Next.js w wersjach 15.5.0 do 15.5.20 i 16.0.0 do 16.2.10, podczas samodzielnego hostowania z domyślnym loaderem obrazów, API optymalizacji obrazów może optymalizować zdalnie hostowane obrazy, jeśli skonfigurowano (domyślnie wyłączone). Jeśli obrazy zawierają złośliwą treść, mogą powodować wyczerpanie CPU w endpointach /_next/image. Dotyczy tylko config.images.remotePatterns.