CVE Vulnerability Catalog

Wykryto podatność w urządzeniach China Mobile P22g-CIac, ZXWT-MIG-P4G4V, ZXWT-MIG-P8G8V, GT3200-4G4P oraz GT3200-8G8P do wersji 20250305. Problem ten, oceniony jako krytyczny, dotyczy nieznanego przetwarzania w komponencie CLI su Command Handler, co prowadzi do wykorzystania domyślnych poświadczeń.

Problem logiczny został rozwiązany poprzez poprawę obsługi plików. Problematyczny błąd został naprawiony w iOS 18.2, iPadOS 18.2, macOS Sequoia 15.2, tvOS 18.2, visionOS 2.2 oraz watchOS 11.2.

W systemie Keytop 路内停车收费系统 w wersji 2.7.1 odkryto krytyczną podatność. Dotyczy ona nieznanej funkcjonalności pliku /saas/commonApi/park/getParks w komponencie API, co prowadzi do niewłaściwej autoryzacji. Atak może być przeprowadzony zdalnie.

Wystawione na działanie ioctl w sterowniku IMFForceDelete programu IObit Malware Fighter w wersji 12.1.0 umożliwia atakującym dowolne usuwanie plików oraz eskalację uprawnień.

Wykryto lukę w Hive, składniku Multicluster Engine (MCE) i Advanced Cluster Management (ACM). Podatność ta powoduje ujawnienie poświadczeń VCenter w obiekcie ClusterProvision po utworzeniu klastra VSphere.

W urządzeniu GL-INet Beryl AX GL-MT3000 w wersji 4.7.0 odkryto problem, który pozwala atakującym na pobieranie dowolnych plików z systemu plików urządzenia. Możliwe jest to poprzez dodawanie dowiązań symbolicznych na zewnętrznym dysku używanym jako udział samba.

Brak walidacji parametru ścieżki (/download) w GL-INet Beryl AX GL-MT3000 w wersji 4.7.0 umożliwia atakującym pobieranie dowolnych plików z systemu plików urządzenia za pomocą odpowiednio skonstruowanego żądania POST.

FS Inc S3150-8T2F prior to version S3150-8T2F_2.2.0D_135103 is vulnerable to Cross Site Scripting (XSS) in the Time Range Configuration functionality of the administration interface. An attacker can inject malicious JavaScript into the "Time Range Name" field, which is improperly sanitized. When saved, the script executes in the browser of any user accessing the affected page, including administrators.

Expr to język wyrażeń oraz ocena wyrażeń dla Go. Przed wersją 1.17.0, parser wyrażeń Expr, gdy otrzyma nieograniczony ciąg wejściowy, próbuje skompilować cały ciąg i generować węzeł drzewa składniowego (AST) dla każdej części wyrażenia, co może prowadzić do nadmiernego zużycia pamięci i awarii procesu z powodu braku pamięci.

W 3DPlay w 3DSwymer, od wersji 3DEXPERIENCE R2022x do R2024x, występuje podatność na przechowywane Cross-site Scripting (XSS). Umożliwia to atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność typu Cross-site Scripting (XSS) w 3DDashboard w 3DSwymer od wersji 3DEXPERIENCE R2022x do R2024x umożliwia atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Wykryto krytyczną podatność w frameworku viames Pair w wersjach do 1.9.11. Dotyczy ona funkcji getCookieContent w pliku /src/UserRemember.php komponentu PHP Object Handler, gdzie manipulacja argumentem cookieName prowadzi do deserializacji.

Zarządzane przez Zohocorp aplikacje ManageEngine Analytics Plus oraz Zoho Analytics w wersjach lokalnych starszych niż 6130 są podatne na przejęcie konta tylko dla użytkowników AD z powodu twardo zakodowanego wrażliwego tokena.

W VAM Virtual Airlines Manager do wersji 2.6.2 zidentyfikowano krytyczną podatność, która dotyczy nieznanej funkcji pliku /vam/index.php w komponencie obsługi parametrów HTTP GET. Manipulacja argumentami ID/registry_id/plane_icao prowadzi do wstrzyknięcia SQL.

W systemie DayCloud StudentManage 1.0 odkryto krytyczną podatność, która dotyczy nieznanego kodu w pliku /admin/adminScoreUrl komponentu Login Endpoint. Manipulacja argumentem query prowadzi do ataku typu SQL injection, który może być przeprowadzony zdalnie.

W urządzeniach IROAD Dash Cam X5 i Dash Cam X6 do wersji 20250308 odkryto krytyczną podatność związaną z funkcjonalnością parowania urządzeń. W wyniku manipulacji dochodzi do ujawnienia twardo zakodowanych poświadczeń.

Koha w wersjach przed 24.11.02 pozwala administratorom na wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrze raportu tools/scheduler.pl.

Alludo Parallels Desktop w wersjach przed 19.4.2 oraz 20.x przed 20.2.2 dla macOS na platformach Intel umożliwia eskalację uprawnień do poziomu roota poprzez procedurę tworzenia maszyny wirtualnej.

W serwerze X.Org X w wersjach od 20.11 do 21.1.16 występuje warunek wyścigu, gdy aplikacja kliencka korzysta z easystroke do gestów myszy. Główny wątek modyfikuje różne struktury danych używane przez wątek wejściowy bez uzyskania blokady.

W podatności CVE-2025-27281 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji cookforweb All In Menu. Problem dotyczy wersji All In Menu od n/a do 1.1.5 włącznie.