CVE Vulnerability Catalog

Podatność CVE-2025-8308 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie INFOREX - General Information Management System, co pozwala na ataki typu XSS poprzez nagłówki HTTP. Problem ten dotyczy wersji systemu od 2025 roku i wcześniejszych do 18 lutego 2026 roku.

W Wispotter, produkcie firmy Doruk Communication and Automation Industry and Trade Inc., występuje podatność związana z niewłaściwym ograniczeniem nadmiernych prób uwierzytelnienia, co umożliwia ataki typu brute force na hasła. Problem dotyczy wersji od 1.0 do przed v2025.10.08.1.

W podatności CVE-2025-7706 w oprogramowaniu Liderahenk występuje brak uwierzytelnienia dla krytycznej funkcji, co umożliwia zdalne włączenie kodu. Problem dotyczy wersji Liderahenk od 3.0.0 do 3.3.1 przed 3.5.0.

Podatność CVE-2025-8303 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w skrypcie nieruchomości EKA Software. Umożliwia to ataki typu Cross-Site Scripting (XSS).

In the Linux kernel, in the Ceph filesystem, there is a bug causing an oops (kernel crash) when reading snapshot directories (.snap). The variable str is guarded by __free(kfree), but it is advanced by one to skip the initial '_' in snapshot names, causing kfree() to be called with an invalid pointer.

W jądrze Linuxa zidentyfikowano podatność, która prowadzi do zastoju systemu z powodu oczekiwania procesów na zakończenie operacji zapisu stron metadanych w systemie plików btrfs. Problem dotyczy mechanizmu ograniczania zanieczyszczenia pamięci, który w niektórych przypadkach może prowadzić do deadlocku.

A bug in GSO segmentation for GRO packets with frag_list was fixed in the Linux kernel, causing low throughput during IPv4/IPv6 protocol translation by XLAT. The issue occurred because skb_segment_list incorrectly processed GRO packets after translation, as XLAT only translates the header of the head skb, leaving frag_list skbs untranslated. The patch forces the SKB_GSO_DODGY flag for GSO packets in translation helpers, ensuring fallback to the safer skb_segment function instead of skb_segment_list.

W jądrze systemu Linux zidentyfikowano podatność w funkcji btrfs: send, która nieprawidłowo sprawdza inline extents w funkcji range_is_hole_in_parent(). Niewłaściwy dostęp do pola disk_bytenr może prowadzić do nieprawidłowego dostępu do pamięci, co jest szczególnie niebezpieczne w przypadku inline extents.

In the Linux kernel, in the unittest_data_add() function, there is a memory leak. If of_resolve_phandles() fails, the allocated unittest_data is not freed, leading to a memory leak.

In the Linux kernel's io_uring/io-wq subsystem, a vulnerability can cause prolonged blocking of io-wq worker threads during exit. Processing large read operations (e.g., 2GB - 4096b) from /dev/msr* files, which lack ->read_iter() support, each read may take up to 20 seconds, leading to hung task timeouts (140 seconds) and error reports.

A vulnerability in beautiful-mermaid prior to version 0.1.3 allows SVG attribute injection, leading to cross-site scripting (XSS) when rendering attacker-controlled Mermaid diagrams. User-controlled values from style and classDef directives are interpolated into SVG attribute values without proper escaping, enabling crafted input to break out of an attribute context and inject arbitrary SVG elements/attributes into the rendered output.

An issue in the 'My Details' user profile functionality of Ideagen Q-Pulse 7.1.0.32 allows an authenticated user to view other users' profile information by modifying the objectKey HTTP parameter in the My Details page URL.

Podatność CVE-2025-13004 dotyczy oprogramowania E-Commerce Package firmy Farktor Software E-Commerce Services Inc. i pozwala na obejście autoryzacji poprzez manipulację zmiennymi kontrolowanymi przez użytkownika.

A vulnerability in Safari and Apple systems may cause a process crash when processing maliciously crafted web content. The issue was addressed with improved memory handling.

A vulnerability in WebKit may cause a process crash when processing maliciously crafted web content. The issue was fixed with improved memory handling in Safari 26.3, iOS 26.3, iPadOS 26.3, macOS Tahoe 26.3, and visionOS 26.3.

A vulnerability in Safari and Apple systems allows unexpected process termination when processing maliciously crafted web content. The issue was fixed by improving memory handling.

A permissions issue was addressed with additional restrictions. Fixed in macOS Sequoia 15.7.4, macOS Sonoma 14.8.4, and macOS Tahoe 26.3. An app may be able to access protected user data.

An issue existed in the handling of environment variables. This was addressed with improved validation. Fixed in iOS 26.3, iPadOS 26.3, macOS Sequoia 15.7.4, macOS Sonoma 14.8.4, macOS Tahoe 26.3, visionOS 26.3, and watchOS 26.3. An app may be able to access sensitive user data.

A permissions issue was addressed by removing the vulnerable code. Fixed in macOS Sequoia 15.7.4 and macOS Tahoe 26.3. An app may be able to access protected user data.

A vulnerability in WebKit may cause a process crash when processing maliciously crafted web content. The issue was addressed through improved state management.