Katalog podatności CVE

W jądrze Linuxa na architekturze PowerPC usunięto zbędne wywołania preempt_disable()/preempt_enable() z funkcji arch_irq_work_raise(). Powodowały one panikę jądra podczas obsługi wyjątków machine check (MCE) w trybie rzeczywistym, ponieważ dostęp do licznika preempt_count w tym kontekście jest niedozwolony.

W jądrze Linux w sterowniku lm90 wykryto brak synchronizacji w funkcji lm90_alert(). Funkcja ta, wywoływana w kontekście przerwania SMBus, modyfikuje rejestry konfiguracyjne bez przejęcia blokady hwmon_lock. Równoczesny zapis przez sysfs może nadpisać te zmiany, co prowadzi do ponownego włączenia linii alertu i wywołania burzy przerwań.

W sterowniku iwlwifi (część jądra Linux) w funkcji iwl_mld_remove_link() występuje błąd dereferencji wskaźnika przed sprawdzeniem, czy nie jest on NULL. Wskaźnik link jest używany do odczytu pola fw_id przed weryfikacją, co może prowadzić do naruszenia pamięci.

W jądrze Linux w mechanizmie SRCU (Sleepable RCU) wykryto problem: podczas przełączania między stanem CPU-0 a stanem wszystkich CPU, SRCU może próbować uruchomić kolejki zadań (workqueue) na CPU, które nigdy nie były online. Może to powodować zawieszanie się systemu na architekturze s390.

Podatność na Reflected XSS w szablonie strony internetowej Polen Media Software and Information Services przed wersją v2, wynikająca z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.

Podatność w systemie plików ext2 Zephyra pozwala na atak DoS przez spreparowany obraz ext2. Walidator superbloku nie sprawdza, czy pola s_blocks_per_group i s_inodes_per_group są niezerowe, co prowadzi do dzielenia przez zero podczas montowania. Na platformach ARMv7-M/ARMv8-M powoduje to błąd krytyczny i odmowę usługi.

Podatność typu path traversal w bibliotece Datasets do wersji 5.0.0. Pole file_name w metadanych nie jest odpowiednio walidowane przed dołączeniem do katalogu zbioru danych, co pozwala atakującym na odczyt dowolnych plików lokalnych poprzez sekwencje typu '../'.

Podatność w lakeFS do wersji 1.83.0 umożliwia ominięcie uwierzytelniania w endpointcie /setup_comm_prefs. Niezautoryzowani atakujący mogą nadpisać metadane operatora, w tym email, nazwę i firmę, oraz modyfikować preferencje aktualizacji bezpieczeństwa.

Podatność w Jan do wersji 0.8.4 wynika z błędnej konfiguracji CORS w lokalnym serwerze API. Serwer zastępuje zaufane hosty wildcardem, co pozwala atakującym w sieci lokalnej na dostęp do nieuwierzytelnionego API zgodnego z OpenAI.

Podatność typu path traversal w BlenderMCP przed commit 30a3308 w metodzie download_polyhaven_asset. Atakujący mogą wstrzyknąć sekwencje typu '../' w kluczach include odpowiedzi API, co pozwala na nadpisanie dowolnych plików.

Podatność w agencie SNMP w urządzeniach Loytec (LIP-ME201C, L-INX, L-GATE, L-ROC, L-IOB, L-DALI, L-VIS, L-PAD) do wersji 8.4.16 na LINX-A64. Niesprawdzane dane wejściowe dla warunku pętli (CWE-606) pozwalają nieuwierzytelnionemu atakującemu na zdalne spowodowanie trwałej odmowy usługi poprzez wysłanie spreparowanego żądania SNMP GETNEXT z dużym komponentem OID.

W Apache HBase w usługach thrift i REST brakuje autoryzacji właściciela w operacjach fetch i close skanera. Użytkownik może pobierać wiersze ze skanera otwartego przez innego użytkownika oraz zamykać skanery należące do innych, co narusza izolację danych.

W bibliotece keycloak-services, będącej rdzeniem systemu zarządzania tożsamością i dostępem Keycloak, w punkcie końcowym role-users brakuje sprawdzenia, czy administrator ma uprawnienia do przeglądania poszczególnych użytkowników podczas wyświetlania członków roli. Ograniczony administrator może zobaczyć prywatne informacje, takie jak nazwy i adresy e-mail użytkowników, do których nie powinien mieć dostępu.

W Devolutions PowerShell Universal w wersji 2026.2.2 i wcześniejszych, funkcja zmiennych przechowuje tajne wartości w postaci jawnego tekstu na dysku, gdy nie wybrano magazynu (vault). Lokalny atakujący z dostępem do systemu plików może odczytać te sekrety.

Brak kontroli dostępu w funkcjach testów automatyzacji i przepływów pracy w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z rolą Czytelnika może wykonywać testy automatyzacji i modyfikować właściwości przepływów pracy z powodu braku autoryzacji po stronie serwera.

Wyciek wrażliwych informacji w API zadań automatyzacji w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z uprawnieniami do odczytu zadań lub skryptów może uzyskać token odświeżania OAuth innego użytkownika poprzez odpowiedzi API, które nie usuwają tego tokena.

W Keycloak Admin REST API, używanym do zarządzania domenami bezpieczeństwa i klientami, podczas przetwarzania żądań dotyczących rotowanych sekretów klienta przechowywanych w bezpiecznym magazynie, delegowany administrator z uprawnieniami tylko do odczytu może pobrać rzeczywisty sekret zamiast symbolu zastępczego magazynu. Dzieje się tak z powodu niewłaściwego egzekwowania granic, co prowadzi do ujawnienia wrażliwych poświadczeń.

W systemie AVESİS firmy ABIS Technology Ltd. Co. występuje podatność polegająca na zewnętrznej kontroli parametru sieciowego uznawanego za niezmienny, co umożliwia dostęp do funkcjonalności nieprawidłowo ograniczonej przez listy kontroli dostępu (ACL). Podatność dotyczy wersji AVESİS przed 202606251646.

DOMPurify przed wersją 3.4.12 nie wykonuje haka afterSanitizeElements dla elementów niestandardowych dozwolonych przez CUSTOM_ELEMENT_HANDLING.tagNameCheck, co pozwala atrybutom ominąć polityki bezpieczeństwa aplikacji. Atakujący mogą zachować wrażliwe atrybuty na elementach niestandardowych, które później ponownie wstrzykują je do zlewów innerHTML, tworząc drugorzędne gadżety XSS.

Parse Server w wersjach od 9.0.0 do 9.10.0-alpha.5 oraz od 8.2.2 do 8.6.86 zwraca komunikaty błędów walidacji GraphQL, które ujawniają nazwy wymaganych niestandardowych pól wejściowych, nawet gdy publiczna introspekcja jest wyłączona (graphQLPublicIntrospection: false, domyślnie). Klient posiadający tylko publiczny identyfikator aplikacji, bez sesji użytkownika, klucza głównego ani klucza konserwacji, może wywołać błędy walidacji, aby poznać nazwy wymaganych pól niestandardowych w klasach, które już zna po nazwie, częściowo omijając cel ukrywania schematu poprzez wyłączenie publicznej introspekcji. Nie są ujawniane żadne przechowywane dane, poświadczenia, nazwy pól opcjonalnych, nazwy klas nieprzywoływanych ani nazwy funkcji Cloud Code.