CVE Vulnerability Catalog

A flaw in GnuTLS allows a denial of service (DoS) attack via specially crafted certificates with a large number of name constraints and subject alternative names (SANs), causing excessive CPU and memory consumption.

Podatność CVE-2025-10465 dotyczy nieograniczonego przesyłania plików z niebezpiecznymi typami w aplikacji Sensaway, co pozwala na przesłanie powłoki sieciowej na serwerze WWW. Problem ten dotyczy wersji Sensaway do 2 września 2026 roku.

Podatność na niebezpieczne przechowywanie wrażliwych informacji w aplikacji Senseway firmy Birtech Information Technologies Industry and Trade Ltd. Co. umożliwia odzyskiwanie osadzonych danych wrażliwych. Problem ten dotyczy wersji Senseway do 09022026.

Insertion of Sensitive Information Into Sent Data vulnerability in Atlas Educational Software Industry Ltd. Co. K12net allows Communication Channel Manipulation. This issue affects k12net through 26072025.

W module haseł firmy Xpoda Türkiye Information Technology Inc. występuje podatność na wstrzykiwanie SQL (SQL Injection) z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy modułu haseł do dnia 11022026.

Podatność CVE-2025-10463 dotyczy niewłaściwej autoryzacji w aplikacji Senseway firmy Birtech Information Technologies Industry and Trade Ltd. Co. Umożliwia ona nadużycie procesu uwierzytelniania.

W JetBrains Hub przed wersją 2025.3.119807 istniała podatność umożliwiająca obejście uwierzytelniania, co pozwalało na wykonywanie działań administracyjnych.

W PyCharm od JetBrains, przed wersją 2025.3.2, istniała możliwość wystąpienia ataku XSS opartego na DOM na stronie podglądu Jupyter.

Vulnerability in Apache Shiro allows authentication bypass by varying the case of filenames in requests for static files. If static files are served from a case-insensitive filesystem (e.g., default macOS), an attacker can access files not covered by Shiro filters. Affects versions before 2.0.7.

W projekcie itsourcecode News Portal w wersji 1.0 odkryto lukę, która dotyczy nieznanego kodu w pliku /admin/index.php komponentu logowania administratora. Manipulacja argumentem email prowadzi do wstrzykiwania SQL.

Podatność CVE-2025-7799 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w serwisie E-Taxpayer Accounting firmy Zirve Information Technologies Inc., co pozwala na ataki typu Reflected XSS.

C&Cm@il opracowany przez HGiga ma podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

C&Cm@il opracowany przez HGiga ma lukę związaną z brakiem uwierzytelnienia, co pozwala nieautoryzowanym zdalnym atakującym na odczyt i modyfikację treści wiadomości dowolnego użytkownika.

W systemie Online Reviewer System 1.0 wykryto podatność, która umożliwia atak typu SQL injection poprzez manipulację argumentem ID w pliku /system/system/students/assessments/pretest/take/index.php. Atak może być przeprowadzony zdalnie.

Dane uwierzytelniające użytkowników są przechowywane z użyciem szyfrowania AES‑ECB z twardo zakodowanym kluczem. Nieautoryzowany zdalny atakujący, który uzyska plik konfiguracyjny, może odszyfrować i odzyskać hasła oraz nazwy użytkowników, zwłaszcza w połączeniu z obejściem uwierzytelniania.

Zdalny atakujący bez uwierzytelnienia może obejść proces autoryzacji, wykorzystując niewystarczającą walidację URI oraz sekwencje przejścia ścieżki (np. /js/../cgi-bin/post.cgi), co pozwala na nieautoryzowany dostęp do chronionych punktów końcowych CGI oraz pobierania konfiguracji.

Nieprawidłowe zarządzanie długością podczas analizowania wielu pól cookie (w tym TRACKID) umożliwia nieautoryzowanemu zdalnemu atakującemu wysyłanie zbyt dużych wartości cookie, co prowadzi do przepełnienia bufora stosu. Może to skutkować awarią usługi oraz potencjalnym zdalnym wykonaniem kodu.

Podatność CVE-2026-22903 dotyczy zmodyfikowanego serwera lighttpd, który nie chroni przed zbyt długimi ciasteczkami SESSIONID. Atakujący zdalnie, bez uwierzytelnienia, może wysłać odpowiednio skonstruowane żądanie HTTP, co prowadzi do przepełnienia bufora stosu i awarii serwera.

W systemie Online Reviewer 1.0 odkryto lukę bezpieczeństwa w nieznanej funkcji pliku /login/index.php komponentu Logowanie. Manipulacja argumentem Nazwa użytkownika prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

Zidentyfikowano podatność w systemie Online Reviewer System 1.0, która dotyczy nieznanej funkcji w pliku /system/system/admins/assessments/pretest/btn_functions.php. Manipulacja argumentem difficulty_id prowadzi do wstrzyknięcia SQL.