CVE Vulnerability Catalog

W ArcGIS Server w wersjach 11.3 i niższych na systemach Windows i Linux występuje problem z niewłaściwą kontrolą dostępu, który w specyficznych okolicznościach może umożliwić zdalnemu, nisko uprzywilejowanemu uwierzytelnionemu atakującemu dostęp do zabezpieczonych usług. Sukces w wykorzystaniu tej podatności prowadzi do nieautoryzowanego dostępu do chronionych usług poza pierwotnie przypisanym zakresem autoryzacji atakującego.

FACTION to framework do generowania raportów z testów penetracyjnych i współpracy. Podatność pozwala atakującemu na ominięcie uwierzytelnienia i zarejestrowanie nowego użytkownika z uprawnieniami administratora bez żadnej autoryzacji.

W serwerze Abacus zidentyfikowano krytyczną podatność na wyciek goroutine w implementacji zdarzeń wysyłanych przez serwer (SSE). Problem występuje, gdy klienci rozłączają się z końcówki /stream, co prowadzi do niewłaściwego czyszczenia zasobów i blokowania goroutine.

A flaw in GRUB2's squash4 module improperly checks integer overflows when determining internal buffer sizes from filesystem geometry. A crafted filesystem can cause a smaller buffer allocation, leading to a heap-based out-of-bounds write during data reading. This could allow arbitrary code execution and bypass Secure Boot protections.

A flaw was found in the HFS filesystem driver in GRUB. When mounting an HFS volume, grub_fs_mount() performs a strcpy() on the user-provided volume name without validating its length, leading to a heap-based out-of-bounds write. This issue compromises GRUB's sensitive data integrity and may allow bypassing Secure Boot protection.

W Ansible aap-gateway znaleziono lukę, która może prowadzić do problemów z równoległym przetwarzaniem żądań w usłudze grpc. W wyniku warunków wyścigu mniej uprzywilejowany użytkownik może uzyskać token JWT użytkownika o wyższych uprawnieniach, co stwarza zagrożenie dla serwera.

In the GRUB HFS+ module, an integer overflow vulnerability occurs when calculating buffer sizes based on user-controlled filesystem metadata. This can lead to allocating a smaller buffer than needed and subsequent out-of-bounds write in the hfsplus_open_compressed_real() function.

A heap-based buffer overflow vulnerability in the UDF filesystem module of GRUB allows an attacker to bypass Secure Boot protections. By crafting a malicious filesystem image, arbitrary code execution can be achieved during the boot process.

Podatność CVE-2024-8261 dotyczy oprogramowania Proliz OBS i polega na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń dostępu. Problem dotyczy wersji OBS przed 24.0927.

Podatność CVE-2025-27279 dotyczy niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji lynk Flashfader. Problem ten dotyczy wersji Flashfader od n/a do 1.1.1 włącznie.

W podatności CVE-2025-27278 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji AcuGIS Leaflet Maps w wersjach od n/a do 5.1.1.0. Problem ten umożliwia ataki refleksyjne XSS.

W podatności CVE-2025-27275 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WOO Codice Fiscale. Problem ten dotyczy wersji od n/a do 1.6.3 włącznie.

Podatność CVE-2025-27271 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce DB Tables Import/Export w wersjach od n/a do 1.0.1. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

Podatność CVE-2025-27269 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bloku logowania .htaccess. Problem ten dotyczy wersji .htaccess Login block od n/a do 0.9a włącznie.

W podatności CVE-2025-27264 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego dołączenia plików. Problem ten dotyczy aplikacji Doctor Appointment Booking w wersjach od n/a do 1.0.0.

W podatności CVE-2025-27263 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w aplikacji Doctor Appointment Booking w wersjach od n/a do 1.0.0. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.

Podatność CVE-2025-26999 dotyczy deserializacji niezaufanych danych w Metagauss ProfileGrid, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji ProfileGrid od n/a do 5.9.4.3 włącznie.

Podatność CVE-2025-26994 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w wtyczce Zigaform – Price Calculator & Cost Estimation Form Builder Lite w wersjach do 7.4.2. Problem ten może umożliwić atakującym wstrzykiwanie złośliwego kodu JavaScript, który zostanie wykonany w przeglądarkach użytkowników.

Podatność CVE-2025-26989 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Zigaform zigaform-form-builder-lite, co prowadzi do możliwości wystąpienia ataków typu Stored XSS. Problem ten dotyczy wersji Zigaform od n/a do 7.4.2 włącznie.

The SMS Alert Order Notifications plugin for WordPress (versions up to 3.7.8) is vulnerable to reflected XSS. Improper input neutralization during page generation allows injection of malicious JavaScript code.