CVE Vulnerability Catalog

Produkty NVIDIA Cumulus Linux i NVOS zawierają podatność w interfejsie NVUE, która pozwala na wstrzyknięcie polecenia przez użytkownika o niskich uprawnieniach. Udane wykorzystanie tej podatności może prowadzić do eskalacji uprawnień.

Produkty NVIDIA Cumulus Linux i NVOS zawierają podatność w interfejsie NVUE, która pozwala użytkownikowi o niskich uprawnieniach na uruchomienie nieautoryzowanego polecenia. Skuteczne wykorzystanie tej podatności może prowadzić do eskalacji uprawnień.

Podatność CVE-2025-1789 dotyczy usługi aktualizacji Genetec, która pozwala na lokalne podniesienie uprawnień. Użytkownik Windows z niskimi uprawnieniami, po uwierzytelnieniu, może wykorzystać tę podatność do uzyskania wyższych uprawnień na zaatakowanym systemie.

Mastodon to darmowy, otwartoźródłowy serwer sieci społecznościowej oparty na ActivityPub. W wersjach 4.4.0 do 4.4.13 oraz 4.5.0 do 4.5.6, działania wykonywane przez FASP w celu subskrypcji zdarzeń związanych z kontem/treścią nie sprawdzały poprawnie, czy FASP został zatwierdzony przez administratora. Problem ten dotyczy serwerów Mastodon, które włączyły eksperymentalną funkcję FASP.

W podatności CVE-2025-14963 zidentyfikowano problem w pliku sterownika HX Agent (fekern.sys), który umożliwia lokalnemu użytkownikowi uzyskanie podwyższonych uprawnień systemowych. Wykorzystanie podatnego sterownika w ramach Bring Your Own Vulnerable Driver (BYOVD) pozwala na dostęp do krytycznego procesu pamięci Windows lsass.exe.

Wiele programów Finka używa wbudowanych, twardo zakodowanych poświadczeń do bazy danych Firebird, które są wspólne dla wszystkich instancji tego oprogramowania. Złośliwy atakujący w lokalnej sieci, znający domyślne poświadczenia, może odczytywać i edytować zawartość bazy danych.

Piwigo to aplikacja do tworzenia galerii zdjęć w sieci. W wersjach z gałęzi 14.x, podczas instalacji, parametr konfiguracyjny secret_key jest ustawiany na MD5(RAND()), co ogranicza losowość do 30 bitów, umożliwiając atak brute-force na klucz tajny. Token CSRF jest częściowo budowany na podstawie klucza tajnego, co pozwala na weryfikację udanego ataku.

Oprogramowanie układowe przełącznika sieciowego Binardat 10G08-0800GSM w wersji V300SP10260209 i wcześniejszych nie wprowadza ograniczeń prędkości ani blokady konta po nieudanych próbach logowania, co umożliwia ataki typu brute-force na dane uwierzytelniające użytkowników.

Oprogramowanie układowe przełącznika sieciowego Binardat 10G08-0800GSM w wersjach wcześniejszych niż V300SP10260209 przechowuje hasło użytkownika w ciasteczku po stronie klienta jako wartość zakodowaną w Base64, dostępną przez interfejs webowy. Ponieważ Base64 jest odwracalne i nie zapewnia poufności, atakujący, który ma dostęp do wartości ciasteczka, może odzyskać hasło w postaci tekstu jawnego.

Oprogramowanie układowe przełącznika sieciowego Binardat 10G08-0800GSM w wersji V300SP10260209 i wcześniejszych używa algorytmu RC4 z twardo zakodowanym kluczem w JavaScript po stronie klienta. Z uwagi na to, że klucz jest statyczny i ujawniony, atakujący może odszyfrować chronione wartości, łamiąc tym samym ochronę poufności.

Oprogramowanie układowe przełącznika sieciowego Binardat 10G08-0800GSM w wersji V300SP10260209 i wcześniejszych ujawnia hasła użytkowników w postaci niezaszyfrowanej w interfejsie administracyjnym oraz odpowiedziach HTTP, co umożliwia odzyskanie ważnych poświadczeń.

W oprogramowaniu układowym przełącznika sieciowego Binardat 10G08-0800GSM w wersji V300SP10260209 i wcześniejszych występuje podatność na wstrzykiwanie poleceń w funkcji diagnostycznej traceroute. Atakujący, który ma dostęp do interfejsu webowego, może wstrzyknąć znak %1a do parametru nazwy hosta i wykonać dowolne polecenia CLI na urządzeniu.

A privilege escalation and improper access control vulnerability in GCOM EPON 1GE C00R371V00B01 allows remote authenticated users to modify administrator-only settings and extract administrator credentials.

AVideo to otwartoźródłowa platforma wideo. W wersjach przed 22.0, punkt końcowy API `aVideoEncoder.json.php` akceptuje parametr `downloadURL` i pobiera wskazany zasób po stronie serwera bez odpowiedniej walidacji, co umożliwia uwierzytelnionym użytkownikom wywoływanie żądań do dowolnych adresów URL.

W narzędziu do zarządzania finansami osobistymi Actual, przed wersją 26.2.1, brak middleware autoryzacji w komponencie serwera ActualBudget pozwalał na dostęp do punktów integracyjnych SimpleFIN i Pluggy.ai przez nieautoryzowanych użytkowników, co umożliwiało odczytanie wrażliwych informacji o saldach kont bankowych i historii transakcji. Ta podatność dotyczy wszystkich użytkowników serwera ActualBudget z skonfigurowanymi integracjami SimpleFIN lub Pluggy.ai.

MindsDB, platforma do budowy sztucznej inteligencji z danych przedsiębiorstw, ma podatność na przejście ścieżki w interfejsie /api/files przed wersją 25.9.1.1. Umożliwia to uwierzytelnionemu atakującemu zdalne wykonanie polecenia poprzez wykorzystanie sekwencji `../` w nazwie pliku podczas przesyłania plików.

A denial-of-service vulnerability exists in the TOTOLINK X5000R router firmware version V9.1.0cu.2415_B20250515 in the CGI script /cgi-bin/cstecgi.cgi. The script reads the CONTENT_LENGTH environment variable and allocates memory using malloc(CONTENT_LENGTH + 1) without proper bounds checking. When the lighttpd request size limit is not enforced, a crafted large POST request can cause memory exhaustion or a segmentation fault, crashing the management CGI and causing loss of web interface availability.

Podatność CVE-2026-2803 dotyczy ujawnienia informacji oraz obejścia zabezpieczeń w komponencie interfejsu użytkownika ustawień. Została naprawiona w wersjach Firefox 148 i Thunderbird 148.

W podatności CVE-2026-2801 występują nieprawidłowe warunki graniczne w komponencie JavaScript: WebAssembly. Problem ten został naprawiony w wersjach Firefox 148 i Thunderbird 148.

A use-after-free vulnerability was found in the DOM: Core & HTML component of Firefox and Thunderbird. The flaw was fixed in versions 148 of both applications.