Katalog podatności CVE

React Router w wersjach 6.4.0 do 7.17.0 umożliwia nieoczekiwane wykonanie konstruktora na kliencie, jeśli kod aplikacji pozwala na nadpisanie pewnych aspektów błędów SSR przez dane wejściowe atakującego. To może wywołać wychodzące żądanie sieciowe. Problem dotyczy tylko aplikacji w trybie Framework lub Data Mode wykonujących ręczne SSR/hydration. Naprawiony w wersji 7.18.0.

W Milk admin w wersji 0.9.8 i wcześniejszych, problem z parametrem redirect pozwala zdalnym atakującym na przekierowanie użytkowników do dowolnych zewnętrznych URLi poprzez spreparowane żądanie.

Pivotick zawiera podatność XSS w komponencie sidebar property-list. Wartości właściwości linkopodobnych (url, uri, href, link, website, homepage) były renderowane jako hiperłącza bez walidacji schematu URL. Atakujący może dostarczyć złośliwą wartość z schematem javascript:, w tym z białymi znakami lub znakami kontrolnymi. Kliknięcie linku może wykonać JavaScript w kontekście aplikacji. Podatność została naprawiona przez normalizację wartości i blokowanie niebezpiecznych schematów.

Problem został rozwiązany poprzez ulepszone sprawdzanie zakresów. Luka występuje w macOS Sequoia 15.7.8, macOS Sonoma 14.8.8 i macOS Tahoe 26.6. Aplikacja może ujawnić pamięć jądra.

Problem z autoryzacją został rozwiązany poprzez ulepszone zarządzanie stanem. Luka występuje w systemach iOS i iPadOS i może pozwolić aplikacji na dostęp do wrażliwych danych użytkownika.

Podatność zapisu poza zakresem w systemach Apple (iOS, iPadOS, macOS, tvOS, visionOS, watchOS) naprawiona poprzez poprawę sprawdzania granic. Przetwarzanie złośliwie spreparowanego pliku może prowadzić do odmowy usługi.

Podatność wycieku informacji w systemach Apple, naprawiona poprzez dodatkową walidację. Aplikacja może ujawnić pamięć jądra.

Podatność dotycząca autoryzacji, naprawiona poprzez lepsze zarządzanie stanem. Aplikacja może uzyskać dostęp do wrażliwych danych użytkownika.

Podatność w systemach Apple, naprawiona poprzez użycie protokołu HTTPS podczas wysyłania informacji przez sieć. Aplikacja może uzyskać dostęp do wrażliwych danych użytkownika.

Problem uprawnień w systemach Apple. Wprowadzono dodatkowe ograniczenia. Aplikacja może odczytać trwały identyfikator urządzenia.

Podatność dotycząca niespójnego interfejsu użytkownika, naprawiona poprzez lepsze zarządzanie stanem. Zdalny atakujący może ominąć filtry sieciowe.

Podatność w systemach Apple, naprawiona poprzez ulepszone sprawdzanie. Przetwarzanie złośliwie spreparowanego kontaktu może prowadzić do wycieku wrażliwych danych.

Problem rozwiązano poprzez poprawione zarządzanie stanem. Problem naprawiono w iOS 18.7.10 i iPadOS 18.7.10, iOS 26.6 i iPadOS 26.6, macOS Sequoia 15.7.7. Atakujący z fizycznym dostępem może uzyskać dostęp do wrażliwych danych użytkownika podczas iPhone Mirroring.

Poprawiono interfejs użytkownika. Problem występuje w przeglądarce Safari 26.6 oraz systemach iOS 26.6, iPadOS 26.6, macOS Tahoe 26.6, tvOS 26.6, visionOS 26.6 i watchOS 26.6. Odwiedzenie strony zawierającej złośliwe treści w ramce może prowadzić do fałszowania interfejsu (UI spoofing).

Poprawiono walidację uprawnień. Problem występuje w przeglądarce Safari 26.6 oraz systemach iOS 26.6, iPadOS 26.6, macOS Tahoe 26.6, tvOS 26.6, visionOS 26.6 i watchOS 26.6. Złośliwie przygotowana treść internetowa może naruszyć politykę piaskownicy iframe.

Podatność w systemach Apple, naprawiona poprzez ulepszone zarządzanie pamięcią. Atakujący w sieci lokalnej może spowodować odmowę usługi.

Problem logiczny został rozwiązany poprzez ulepszone sprawdzanie. Luka dotyczy systemów iOS, iPadOS i macOS i może pozwolić aplikacji na dostęp do wrażliwych danych użytkownika.

Podatność przepełnienia bufora w systemach Apple, naprawiona poprzez ulepszone zarządzanie pamięcią. Przetwarzanie modelu 3D może prowadzić do ujawnienia pamięci procesu.

Podatność w systemach Apple, naprawiona poprzez ulepszone zarządzanie stanem. Aplikacja może uzyskać dostęp do wrażliwych danych użytkownika.

Podatność typu use-after-free w komponencie przetwarzającym treści webowe, naprawiona poprzez poprawę zarządzania pamięcią. Problem występuje w Safari, iOS, iPadOS, macOS Golden Gate, macOS Tahoe, tvOS, visionOS oraz watchOS. Przetworzenie złośliwie spreparowanej treści webowej może doprowadzić do nieoczekiwanej awarii Safari.