Katalog podatności CVE

W Zephyr RTOS w wersjach od v3.3.0 do v4.4.1, funkcja weryfikatora przestrzeni użytkownika z_vrfy_log_filter_set() wykonuje porównanie ze znakiem dla parametru src_id, co pozwala na przekazanie ujemnej wartości. Prowadzi to do odczytu i zapisu poza zakresem w tablicy log_dynamic, co może być wykorzystane do eskalacji uprawnień w trybie nadzorcy.

W Ekushey Project Manager CRM w wersji 5.0 i wcześniejszych wykryto podatność na trwałe ataki XSS. Uwierzytelnieni klienci mogą wstrzyknąć złośliwy kod HTML i JavaScript w polu tytułu zgłoszenia na stronie tworzenia nowego zgłoszenia, który następnie jest wyświetlany bez sanityzacji na stronie pomocy technicznej.

Ekushey Project Manager CRM w wersji do 5.0 zawiera podatność na trwałe XSS, która pozwala uwierzytelnionym użytkownikom-klientom na wstrzykiwanie dowolnego HTML i JavaScript przez pole Name na stronie Edit Profile. Złośliwe skrypty wykonują się w sesjach przeglądarki personelu lub administratorów przeglądających strony Manage Clients lub Manage Client Projects.

Ekushey Project Manager CRM w wersji do 5.0 zawiera podatność braku unikalności, która pozwala uwierzytelnionym administratorom na tworzenie duplikatów kont klientów z identycznym adresem e-mail i hasłem. Atakujący mogą wykorzystać brak wymuszania unikalności pola e-mail do tworzenia konfliktowych stanów kont, prowadząc do nieprzewidywalnego uwierzytelniania i nieautoryzowanego dostępu do kont.

Next.js w wersjach 12.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w regułach rewrites()/redirects() z zewnętrznym hostem pochodzącym z żądania. Atakujący może przekierować żądanie na dowolny host, co prowadzi do SSRF (dla rewrite) lub Open Redirect (dla redirect).

W Next.js w wersjach 15.5.0 do 15.5.20 i 16.0.0 do 16.2.10, podczas samodzielnego hostowania z domyślnym loaderem obrazów, API optymalizacji obrazów może optymalizować zdalnie hostowane obrazy, jeśli skonfigurowano (domyślnie wyłączone). Jeśli obrazy zawierają złośliwą treść, mogą powodować wyczerpanie CPU w endpointach /_next/image. Dotyczy tylko config.images.remotePatterns.

W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, aplikacje używające App Router i Server Actions mogą ujawnić identyfikatory Server Action nieuwierzytelnionym użytkownikom poprzez publicznie serwowane artefakty klienckie. To ujawnienie jest zazwyczaj prymitywem rozpoznawczym, ale zwiększa ryzyko w połączeniu z innymi słabościami.

Biblioteka ip-address w JavaScript w wersjach 10.1.1 do 10.2.0 jest podatna na SSRF poprzez błędną klasyfikację adresów IPv4-mapped/NAT64 IPv6. Adresy te są błędnie klasyfikowane jako Global unicast, co omija sprawdzenia isLoopback, isUnspecified, isMulticast, isLinkLocal i isULA. Dla adresów IPv4-mapped jest to osiągalne na każdym hoście z podwójnym stosem, a dla NAT64 wymaga bramy NAT64/DNS64.

W systemie Papra przed wersją 26.5.0 uwierzytelniony użytkownik będący członkiem dowolnej organizacji może usuwać lub zmieniać nazwy tagów należących do innej organizacji, znając identyfikator tagu. Mechanizm kontroli dostępu sprawdza przynależność do organizacji na poziomie URL, ale zapytanie do bazy danych filtruje tylko po identyfikatorze tagu, pomijając zakres organizacji.

W Devolutions Server od wersji 2026.2.4.0 do 2026.2.12.0 oraz w wersji 2026.1.23.0 i wcześniejszych, niewłaściwa kontrola dostępu w punktach końcowych historii haseł PAM pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na ujawnienie tajnych haseł w postaci jawnego tekstu poprzez spreparowane żądania API.

Podatność nieprawidłowej kontroli dostępu w synchronizatorze NetBox w Devolutions Server. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może uzyskać token API przechowywany dla wpisu.

Podatność w Apache Wicket polegająca na użyciu niewystarczająco losowych wartości oraz awarii mechanizmu ochrony. Dotyczy wersji od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.9.0. Zalecana jest aktualizacja do wersji 10.10.0.

Podatność na Cross-Site Scripting (XSS) w Apache Wicket spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Dotyczy wersji od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.9.0. Zalecana jest aktualizacja do wersji 10.10.0.

W produkcie unitedbyai droidclaw do wersji 0.5.3 występuje podatność na ominięcie autoryzacji w pliku server/src/routes/goals.ts w komponencie Unsigned Scheduled Callback. Atak jest zdalny, o wysokiej złożoności, a exploit jest publicznie dostępny.

W phpMyFAQ przed wersją 4.1.6 występuje podatność na eskalację uprawnień w funkcji GroupController::updateMembers(). Administratorzy z uprawnieniami do zarządzania grupami mogą dołączyć do grup z wyższymi uprawnieniami bez weryfikacji.

Podatność Relative Path Traversal w module zip Erlang OTP (stdlib) pozwala na zapisywanie plików poza zamierzonym katalogiem wypakowania poprzez spreparowane archiwum zip. Funkcje zip:unzip/1,2 i zip:extract/1,2 nieprawidłowo walidują ścieżki, co umożliwia ominięcie zabezpieczeń.

W bibliotece HDF5 występuje podatność na dereferencję wskaźnika NULL. Przetworzenie spreparowanego pliku HDF5 zawierającego atrybut z nieprawidłowym polem typu o zmiennej długości może spowodować awarię aplikacji podczas odczytu atrybutu.

W bibliotece HDF5 odkryto podatność podwójnego zwolnienia pamięci. Przetworzenie spreparowanego pliku HDF5 z nadmiernie dużym polem rozmiaru fragmentu za pomocą narzędzia h5repack może spowodować przerwanie działania aplikacji z powodu podwójnego zwolnienia.

W bibliotece HDF5 do wersji 2.1.1 występuje przepełnienie bufora sterty w kodzie deserializacji listy indeksów SOHM. Przetworzenie spreparowanego pliku HDF5, w którym indeks listy komunikatów współdzielonych deklaruje liczbę komunikatów przekraczającą list_max, powoduje odczyty i zapisy poza zakresem sterty w funkcjach H5SM__cache_list_deserialize i H5SM__cache_list_verify_chksum, co prowadzi do awarii.

W AstrBotDevs AstrBot do wersji 4.25.5 występuje podatność nieprawidłowej autoryzacji w funkcji _build_handoff_toolset w pliku AstrBot/astrbot/core/astr_agent_tool_exec.py komponentu Subagent. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.