CVE Vulnerability Catalog

Zidentyfikowano słabość w elunez eladmin do wersji 2.7, która dotyczy nieznanego kodu w pliku App.java modułu wdrażania aplikacji. Manipulacja argumentem uploadPath prowadzi do wstrzyknięcia poleceń, co umożliwia zdalne wykorzystanie tej podatności.

Wykryto lukę bezpieczeństwa w NousResearch hermes-agent do wersji 2026.4.23, która dotyczy funkcji _sync_anthropic_entry_from_credentials_file w pliku agent/credential_pool.py. Manipulacja tą funkcją prowadzi do niewłaściwej autoryzacji.

Wtyczka Slider Revolution dla WordPressa w wersjach 6.0.0-6.7.55 oraz 7.0.0-7.0.14 jest podatna na nieautoryzowaną modyfikację danych. Problem wynika z braku odpowiedniej weryfikacji uprawnień użytkownika do wykonania danej akcji.

Wtyczka Slider Revolution dla WordPressa jest podatna na ujawnienie wrażliwych informacji w wersjach 7.0.0 - 7.0.14, poprzez akcję AJAX 'slider.get.full'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej, wydobycie wrażliwych danych, w tym surowych poświadczeń API mediów społecznościowych.

W systemie zarządzania opłatami itsourcecode w wersji 1.0 znaleziono lukę. Problem dotyczy nieznanej funkcji w pliku /manage_fee.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem ID.

W systemie zarządzania opłatami itsourcecode w wersji 1.0 wykryto podatność. Nieznana funkcja w pliku index.php pozwala na manipulację argumentem page, co prowadzi do ataku typu cross-site scripting (XSS).

eLabFTW to otwarte oprogramowanie do prowadzenia elektronicznych dzienników laboratoryjnych. Przed wersją 5.4.2, uwierzytelniony użytkownik wykonujący wyszukiwanie numeryczne mógł otrzymać wyniki zawierające zasoby, do których nie miał uprawnień. Ujawnione informacje są ograniczone do tytułów zasobów.

Kiteworks to sieć prywatnych danych (PDN). Przed wersją 9.3.0 występuje podatność typu Insecure Direct Object Reference (IDOR), która pozwala uwierzytelnionemu użytkownikowi na modyfikację zasobów należących do innych użytkowników z powodu niewystarczających kontroli autoryzacji dotyczących własności zasobów.

Kiteworks, będący prywatną siecią danych, zawierał podatność typu Insecure Direct Object Reference (IDOR) przed wersją 9.3.0. Umożliwia ona uwierzytelnionemu użytkownikowi modyfikację uprawnień do zasobów należących do innych użytkowników z powodu niewystarczających kontroli autoryzacji dotyczących własności zasobów.

Kiteworks, będący prywatną siecią danych, przed wersją 9.3.0 miał podatność typu XSS, która pozwalała uwierzytelnionemu atakującemu na wykonanie dowolnego kodu JavaScript w sesjach innych użytkowników. Problem dotyczy formularzy danych w Kiteworks.

Kiteworks to sieć prywatnych danych (PDN). Przed wersją 9.3.0 występowała podatność typu Insecure Direct Object Reference (IDOR), która pozwalała uwierzytelnionemu użytkownikowi na modyfikację zasobów należących do innych użytkowników z powodu niewystarczających kontroli autoryzacji dotyczących własności zasobów.

Zidentyfikowano podatność w systemie zarządzania opłatami itsourcecode w wersji 1.0, która dotyczy nieznanej części pliku /manage_course.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL.

W systemie zarządzania opłatami itsourcecode w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem 'Username' w pliku /ajax.php może prowadzić do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

Podatność CVE-2025-59614 dotyczy uszkodzenia pamięci, które występuje podczas wysyłania polecenia do generatora liczb losowych z niewystarczającym rozmiarem bufora wyjściowego. Może to prowadzić do nieprzewidzianych zachowań aplikacji.

Podatność CVE-2025-59613 dotyczy uszkodzenia pamięci, które występuje, gdy rozmiar bufora wyjściowego jest mniejszy niż rozmiar bufora wejściowego podczas operacji kopiowania danych. Może to prowadzić do nieprzewidzianych zachowań aplikacji.

Występuje uszkodzenie pamięci w sterownikach systemu Windows podczas wysyłania niepoprawnego żądania aplikacji zaufanej. Problem ten może prowadzić do nieprzewidzianego zachowania systemu.

Podatność CVE-2025-59611 dotyczy usługi diagnostycznej, w której występuje uszkodzenie pamięci spowodowane brakiem walidacji danych wejściowych. Może to prowadzić do nieautoryzowanego dostępu lub awarii systemu.

Podatność CVE-2025-59610 dotyczy uszkodzenia pamięci podczas przetwarzania żądań IOCTL z niedopasowanymi wersjami API, co jest spowodowane równoczesną modyfikacją bufora w przestrzeni użytkownika. Może to prowadzić do nieprzewidzianych zachowań systemu.

Podatność CVE-2025-59609 dotyczy ujawnienia informacji podczas przetwarzania ramek reklamowych z nieprawidłowymi elementami MBSSID o niewystarczającej długości. Może to prowadzić do nieautoryzowanego dostępu do wrażliwych danych.

Podatność CVE-2025-59601 umożliwia ujawnienie informacji podczas resetowania urządzenia do ustawień fabrycznych za pomocą interfejsu powerline, co pozwala na nieautoryzowany dostęp do konfiguracji urządzenia.