CVE Vulnerability Catalog

W podatności CVE-2025-3260 użytkownicy z autoryzacją mogą obejść uprawnienia do pulpitów nawigacyjnych i folderów w punktach końcowych /apis/dashboard.grafana.app/*. Dotyczy to wszystkich wersji API (v0alpha1, v1alpha1, v2alpha1).

An issue was found in the private API function qDecodeDataUrl() in QtCore, used in QTextDocument and QNetworkReply. Calling it with malformed data, e.g., a URL with a "charset" parameter lacking a value, triggers an assertion and aborts the program (denial of service).

W systemie Marwal Infotech CMS w wersji 1.0 odkryto krytyczną podatność. Dotyczy ona nieznanego kodu w pliku /page.php, gdzie manipulacja argumentem ID prowadzi do wstrzykiwania SQL.

W Aem Solutions CMS do wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem ID w pliku /page.php prowadzi do ataku typu SQL injection, który można przeprowadzić zdalnie.

Adapter Bluetooth HCI od Realtek ma podatność związaną z śledzeniem linków. Lokalni atakujący z normalnymi uprawnieniami mogą stworzyć symboliczny link o tej samej nazwie co określony plik, co prowadzi do usunięcia dowolnych plików wskazywanych przez ten link.

Wtyczka Offsprout Page Builder dla WordPressa jest podatna na eskalację uprawnień z powodu niewłaściwej autoryzacji w funkcji permission_callback() w wersjach od 2.2.1 do 2.15.2. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Contributor i wyżej, odczyt, tworzenie, aktualizowanie lub usuwanie dowolnych metadanych użytkowników, w tym zmianę własnych wp_capabilities na administratora.

Wtyczka WP-GeoMeta dla WordPressa jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji wp_ajax_wpgm_start_geojson_import() w wersjach od 0.3.4 do 0.3.5. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, podniesienie swoich uprawnień do poziomu administratora.

W Lenovo PC Manager zgłoszono podatność związaną z niewłaściwym zarządzaniem uprawnieniami, która może pozwolić lokalnemu atakującemu na wykonywanie dowolnych operacji usuwania plików jako użytkownik z podwyższonymi uprawnieniami.

W Lenovo PC Manager zgłoszono podatność związaną z niewłaściwymi domyślnymi uprawnieniami, która może umożliwić lokalnemu atakującemu podniesienie uprawnień.

W Lenovo PC Manager zgłoszono podatność na niezaufaną ścieżkę wyszukiwania, która może umożliwić lokalnemu atakującemu podniesienie uprawnień.

Podatność typu Cross-site Scripting (XSS) w zarządzaniu elementami serwisowymi w Service Process Engineer od wersji 3DEXPERIENCE R2024x do R2025x pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Występuje podatność typu Cross-site Scripting (XSS) w 3D Markup w Collaborative Industry Innovator, która pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika. Dotyczy to wersji od 3DEXPERIENCE R2022x do 3DEXPERIENCE R2025x.

Występuje podatność typu Cross-site Scripting (XSS) w Change Governance w Product Managerze od wersji 3DEXPERIENCE R2022x do R2025x, która pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Występuje podatność typu Cross-site Scripting (XSS) w module Wymagania w Product Managerze, która dotyczy wersji od 3DEXPERIENCE R2022x do 3DEXPERIENCE R2025x. Umożliwia ona atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność typu Cross-site Scripting (XSS) w module Results Analytics w Multidisciplinary Optimization Engineer od wersji 3DEXPERIENCE R2022x do R2024x pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Występuje podatność typu Cross-site Scripting (XSS) w Model Definition w Product Managerze, która dotyczy wersji od 3DEXPERIENCE R2022x do 3DEXPERIENCE R2025x. Umożliwia ona atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Występuje podatność typu Cross-site Scripting (XSS) w module Zarządzania Ryzykiem w Project Portfolio Manager, od wersji 3DEXPERIENCE R2022x do R2025x. Umożliwia ona atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność typu Cross-site Scripting (XSS) w systemie City Discover w City Referential Manager w wersji 3DEXPERIENCE R2025x pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność typu Cross-site Scripting (XSS) w City Referential Manager w wersji 3DEXPERIENCE R2025x pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność typu Cross-site Scripting (XSS) w aplikacji Compare w systemie Collaborative Industry Innovator, występująca od wersji 3DEXPERIENCE R2023x do R2025x, umożliwia atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.