CWE-400

W produkcie Bluvoyix firmy Blusparkglobal wykryto podatność w API odpowiedzialnym za wysyłanie wiadomości e-mail, wynikającą z błędów projektowych. Nieuwierzytelniony atakujący zdalny może nadużyć tego API do masowego rozsyłania niechcianych wiadomości w imieniu organizacji korzystającej z produktu.

Krytyczna podatność w bibliotece Apache Log4j2 (znana jako Log4Shell) umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze poprzez spreparowane dane wejściowe zapisywane w logach. Ze względu na powszechność Log4j2 w aplikacjach Java oraz maksymalny wynik CVSS 10.0 i potwierdzone aktywne wykorzystanie, stanowi jedno z najpoważniejszych zagrożeń w historii bezpieczeństwa aplikacji.

Podatność w komponencie Web Service API produktu Oracle BI Publisher umożliwia niskouprawnionym atakującym zdalny dostęp do krytycznych danych oraz ich modyfikację. Ocena CVSS 9.9 wskazuje na wyjątkowo wysokie ryzyko, a skutki mogą wykraczać poza sam produkt (scope change).

Podatność w komponencie Core systemu Oracle REST Data Services (wersje 24.2.0–26.1.0) pozwala niskouprzywilejowanemu atakującemu z dostępem sieciowym przez HTTPS na całkowite przejęcie kontroli nad usługą. Wysoki wynik CVSS 9.9 odzwierciedla krytyczny wpływ na poufność, integralność i dostępność, również w kontekście innych produktów (scope change).

Urządzenie TOTOLINK X5000R w oprogramowaniu v9.1.0cu_2415_B20250515 zawiera podatność typu argument injection w obsłudze żądań setDiagnosisCfg. Umożliwia ona zdalnie uwierzytelnionym atakującym wstrzyknięcie dowolnych opcji wiersza poleceń do narzędzia ping, co może prowadzić do odmowy usługi (DoS).

Podatność w silniku analizy behawioralnej systemu Windows w Hatching Triage Sandbox umożliwia przesłanemu próbce złośliwego oprogramowania uniknięcie wykrycia i zakłócenie procesu analizy. Zagrożenie jest poważne, ponieważ kluczowe złośliwe działania — takie jak wykonanie PowerShell czy aktywność reverse shell — mogą nie zostać zarejestrowane ani zaraportowane.

Podatność w systemie Apple macOS wynikająca z nieprawidłowej obsługi pamięci może pozwolić złośliwej aplikacji na wywołanie stanu odmowy usługi (denial-of-service). Pomimo wysokiego wyniku CVSS 9.8, Apple wskazuje na możliwość spowodowania awarii systemu przez lokalnie uruchomioną aplikację.

Podatność w obsłudze pamięci w systemach Apple pozwala na wywołanie nieoczekiwanego zamknięcia aplikacji lub uszkodzenie pamięci procesu poprzez przetworzenie złośliwie spreparowanego pliku wideo. Wysoki wynik CVSS 9.8 wskazuje na możliwość poważnych skutków bez konieczności uwierzytelnienia.

Podatność w obsłudze pamięci systemów operacyjnych Apple pozwala atakującemu na wywołanie nieoczekiwanego zakończenia aplikacji lub uszkodzenia pamięci procesu poprzez spreparowany plik wideo. Oceniona jako krytyczna (CVSS 9.8), dotyczy szerokiej gamy urządzeń Apple.

Podatność typu type confusion w systemie macOS umożliwia atakującemu zdalne wywołanie nieoczekiwanego zakończenia aplikacji. Ocena CVSS 9.8 wskazuje na krytyczny poziom zagrożenia, choć opisany skutek ogranicza się do destabilizacji działania aplikacji.

Podatność w Apple macOS (CWE-400) pozwala atakującemu znajdującemu się w uprzywilejowanej pozycji sieciowej na wywołanie ataku denial-of-service. Błąd wynika z nieprawidłowej obsługi pamięci i został oceniony jako krytyczny z wynikiem CVSS 9.8.

Podatność w obsłudze pamięci w Apple WebKit/Safari umożliwia nieoczekiwane zamknięcie (crash) przeglądarki Safari poprzez przetworzenie złośliwie spreparowanych treści webowych. Ocena CVSS 9.8 (CRITICAL) wskazuje na wysokie ryzyko dla poufności, integralności i dostępności danych.

Podatność w systemie macOS Sequoia wynikająca z nieprawidłowego zarządzania pamięcią (CWE-400: Uncontrolled Resource Consumption) umożliwia aplikacji wywołanie nieoczekiwanego zakończenia pracy systemu. Ocena CVSS 9.8 wskazuje na krytyczny poziom zagrożenia.

UCI IDOL 2 (znany również jako uciIDOL lub IDOL2) w wersjach do 2.12 zawiera krytyczne podatności związane z nieprawidłową walidacją danych wejściowych, błędną deserializacją oraz nieprawidłowym zarządzaniem pamięcią. Błędy te umożliwiają przeprowadzenie ataków typu Denial-of-Service (DoS), a potencjalnie również zdalne wykonanie kodu (RCE).

W jądrze Linux (Linux Kernel) w sterowniku clk-bcm2711-dvp występuje podatność związana z dostępem do tablicy przed inicjalizacją jej licznika elementów, sklasyfikowana jako CWE-400 (niekontrolowane zużycie zasobów). Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co wskazuje na potencjalnie poważne konsekwencje dla systemów ją zawierających.

Podatność w projekcie STRIMZI 0.41.0 i wcześniejszych wersjach umożliwia nieuwierzytelnionemu atakującemu dostęp do Kafka Connect REST API bez autoryzacji. Skutki obejmują kradzież poświadczeń SASL, przejęcie kopii danych z tematów Kafka oraz zakłócenie działania usługi Kafka Mirroring.

Biblioteka Samly dla języka Elixir przed wersją 1.4.0 nieprawidłowo obsługuje wygasłe sesje SAML, zwracając je zamiast odrzucać. Stanowi to poważne zagrożenie dla kontroli dostępu, ponieważ atakujący może utrzymać dostęp do zasobów pomimo wygaśnięcia jego sesji uwierzytelnienia.

Moduł DP w systemie Huawei HarmonyOS zawiera podatność umożliwiającą przejęcie usług (service hijacking). Skuteczne wykorzystanie tej podatności może wpływać na działanie usług Super Device.

Podatność w serwerze UniRPC oprogramowania Rocket Software UniData i UniVerse powoduje niekontrolowane wyczerpanie pamięci systemowej (CWE-400) podczas przetwarzania skompresowanych danych. Ze względu na krytyczny poziom CVSS 9.8 i brak wymagań uwierzytelnienia, stanowi poważne zagrożenie dla dostępności systemu.

Zidentyfikowano podatność w wybranych drukarkach wielofunkcyjnych HP (MFP) wyposażonych w oprogramowanie FutureSmart 5. Wykorzystanie luki może prowadzić do ataku typu Denial of Service (DoS) podczas działania rozwiązań HP Workpath.