Katalog podatności CVE

W routerach GL.iNet AX1800 do wersji 4.8.3 znaleziono podatność na wstrzyknięcie poleceń w funkcji remove_rule w pliku /usr/share/gl-ngx/oui-rpc.lua (komponent RPC Endpoint). Manipulacja argumentem args.id umożliwia zdalne wykonanie poleceń. Exploit jest publicznie dostępny.

Wtyczka Tapo P110 v1 (inteligentna wtyczka Wi-Fi) zawiera podatność na nieprawidłową walidację granic podczas obsługi uwierzytelnionych żądań HTTP, co może prowadzić do przepełnienia bufora i awarii procesu usługi webowej. Udane wykorzystanie może spowodować zatrzymanie lub restart usługi, prowadząc do odmowy usługi.

W Django 5.2 przed 5.2.17 i 6.0 przed 6.0.8 odkryto problem w zapytaniach przestrzennych GeoDjango. Wartości po prawej stronie są optymistycznie parsowane jako raster przez konstruktor GDALRaster, co pozwala na zapis pliku o wybranej nazwie i zawartości lub wykonanie żądania sieciowego. Może to prowadzić do zdalnego wykonania kodu, jeśli plik zostanie zapisany w lokalizacji importowanej przez aplikację.

Flowise przed wersją 3.1.3 zawiera podatność w funkcji executeJavaScriptCode(), która akceptuje nodeVMOptions od wywołującego i scala je z domyślnymi ustawieniami bezpieczeństwa NodeVM. Uwierzytelniony atakujący może uruchomić niestandardową funkcję, która importuje utils.js, wywołuje executeJavaScriptCode() z opcjami umożliwiającymi dostęp do wszystkich wbudowanych modułów, a następnie używa child_process do wykonania dowolnych poleceń systemowych jako root na serwerze Flowise.

Flowise przed wersją 3.1.3 zawiera podatność na wstrzykiwanie kodu w komponentach AgentAsTool, ChatflowTool i ExecuteFlow, które uruchamiają kod w sandboxie vm2. Wartość baseURL kontrolowana przez użytkownika jest wstawiana bezpośrednio do kodu JavaScript, a jedyną walidacją jest isValidURL, która nie zapobiega przełamaniu ciągu znaków. Uwierzytelniony użytkownik może wstrzyknąć własny kod JavaScript, który może uciec z sandboxa i wykonać dowolny kod na serwerze Flowise.

Brak kontroli uprawnień w trasie /api/v1/files w Flowise przed wersją 3.1.3, co pozwala niskouprzywilejowanym kluczom API na listowanie i usuwanie plików w całej organizacji.

Podatność zdalnego wykonania kodu w LAMP Rapid Development Platform, gdzie GlueFactory wykonuje niesandboxowane skrypty Groovy z pól szablonów bazy danych bez ograniczeń kompilacji.

Uszkodzenie pamięci podczas przetwarzania niezaufanych danych wejściowych w module fastboot do konfiguracji frameworka audio.

Przejściowa odmowa usługi (DoS) podczas przetwarzania ramki odpowiedzi o krótkim czasie uśpienia (target wake time) z niewystarczającym rozmiarem pakietu.

Słaba konfiguracja w UE (User Equipment) polegająca na braku weryfikacji spójności dodatkowych zabezpieczeń z powtórzonymi (replay) możliwościami.

Występuje uszkodzenie pamięci podczas przetwarzania żądań IOCTL sterownika urządzenia z nieprawidłowymi argumentami.

Podatność powoduje uszkodzenie pamięci podczas obsługi nieprawidłowo sformułowanych parametrów żądania w TA odcisków palców.

Podatność kryptograficzna podczas przetwarzania żądań rejestracji z nieprawidłowymi lub brakującymi parametrami uwierzytelniania.

Uszkodzenie pamięci podczas przetwarzania pakietu o rozmiarze zbliżonym do maksymalnej dozwolonej wartości.

Flowise przed wersją 3.1.3 pozwala uwierzytelnionym użytkownikom na ustawienie dowolnych opcji TypeORM DataSource przez pole additionalConfig w kilku węzłach menedżera rekordów i pamięci agenta. Opcje takie jak entities, subscribers i migrations mogą ładować lokalne pliki JavaScript, co umożliwia wykonanie dowolnego kodu na serwerze poprzez przesłanie złośliwego pliku JavaScript i odniesienie się do niego w additionalConfig.entities. Problem został naprawiony w wersji 3.1.3.

Flowise przed wersją 3.1.3 ma nieuwierzytelniony endpoint odświeżania tokenów OAuth2, który wykonuje żądania HTTP po stronie serwera do kontrolowanego przez atakującego adresu URL bez ochrony SSRF, ujawniając odpowiedź i dane uwierzytelniające.

Poprawka dla CVE-2026-18401 w jackson-core jest niekompletna i pozostawia lukę w parserze nieblokującym. Atakujący może wysyłać JSON w małych fragmentach bez znaku końca, powodując nieograniczony wzrost bufora pamięci, ograniczonego jedynie przez maxStringLength (20 MiB) zamiast maxNumberLength (1000).

Perspective 5.0.0 zawiera podatność na przechodzenie po ścieżkach, umożliwiającą nieuwierzytelnionym atakującym odczyt dowolnych plików z systemu plików serwera przez dosłowne segmenty ../ w ścieżkach URL.

Perspective 5.0.0 zawiera podatność na odmowę usługi w dyspozytorze protokołu VirtualServer, umożliwiającą nieuwierzytelnionym atakującym wywołanie awarii procesu serwera przez wysyłanie nieprawidłowych lub niekompletnych wiadomości protobuf.

Perspective 5.0.0 zawiera podatność na zdalne wykonanie kodu, umożliwiającą nieuwierzytelnionym atakującym wykonanie dowolnych poleceń systemu operacyjnego przez przesłanie spreparowanych wyrażeń do backendu PolarsVirtualServer, który przekazuje dane wejściowe bezpośrednio do eval() Pythona.