CVE Vulnerability Catalog

Niechroniony punkt końcowy API umożliwia atakującemu zdalną zmianę hasła urządzenia bez konieczności uwierzytelnienia.

W podatności CVE-2025-64075 występuje luka w przechodzeniu ścieżek w funkcji check_token urządzenia Shenzhen Zhibotong Electronics ZBT WE2001. Umożliwia ona zdalnym atakującym ominięcie uwierzytelnienia i wykonanie działań administracyjnych poprzez dostarczenie spreparowanej wartości ciasteczka sesyjnego.

Urządzenia METIS DFS (wersje <= oscore 2.1.234-r18) udostępniają interfejs webowy na końcówce /console, który nie wymaga uwierzytelnienia. Uzyskanie dostępu do tej końcówki pozwala zdalnemu atakującemu na wykonywanie dowolnych poleceń systemowych z uprawnieniami 'daemon'.

Urządzenia METIS WIC (wersje <= oscore 2.1.234-r18) udostępniają interfejs webowy na końcówce /console, który nie wymaga uwierzytelnienia. Uzyskanie dostępu do tej końcówki pozwala zdalnemu atakującemu na wykonywanie dowolnych poleceń systemowych z uprawnieniami roota (UID 0).

Podatność CVE-2025-12059 dotyczy platformy Logo j-Platform, która pozwala na wprowadzenie wrażliwych informacji do plików lub katalogów dostępnych zewnętrznie. Problem wynika z nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność CVE-2025-8668 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Turboard, co pozwala na ataki typu Reflected XSS (Cross-site Scripting). Problem ten występuje w wersjach oprogramowania od 2025.07 do 2026.02.

W Dinosoft ERP występuje luka związana z brakiem uwierzytelnienia dla krytycznych funkcji oraz niewłaściwą kontrolą dostępu, co pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji Dinosoft ERP od < 3.0.1 do 11022026.

Zgłoszono podatność typu 'link following', która wpływa na kilka wersji systemu operacyjnego QNAP. Zdalni atakujący mogą wykorzystać tę podatność do przeszukiwania systemu plików w niezamierzonych lokalizacjach.

Wtyczka WPvivid Backup & Migration dla WordPressa jest podatna na nieautoryzowane przesyłanie dowolnych plików w wersjach do 0.9.123 włącznie. Problem wynika z niewłaściwego zarządzania błędami w procesie deszyfrowania RSA oraz braku sanitizacji ścieżek przy zapisywaniu przesyłanych plików.

CVE-2026-26009 dotyczy platformy Catalyst, która umożliwia hostowanie serwerów gier i integrację paneli rozliczeniowych. Skrypty instalacyjne w szablonach serwerów wykonują polecenia bezpośrednio na systemie operacyjnym jako root, co pozwala na zdalne wykonanie kodu na każdym węźle klastra przez użytkowników z odpowiednimi uprawnieniami.

EverShop to platforma eCommerce oparta na TypeScript. Podczas aktualizacji i usuwania kategorii, aplikacja wprowadza wartości ścieżki / request_path, pochodzące z url_key przechowywanego w bazie danych, do instrukcji SQL poprzez konkatenację łańcuchów, co prowadzi do drugorzędnej podatności na wstrzyknięcie SQL.

Deserializacja nieufnych danych w Azure SDK umożliwia nieautoryzowanemu atakującemu wykonanie kodu przez sieć.

CASL Ability w wersjach od 2.4.0 do 6.7.4 zawiera podatność na zanieczyszczenie prototypu. Ta luka może prowadzić do nieautoryzowanego dostępu do danych lub wykonania niepożądanych operacji.

W Apache Druid występuje podatność na obejście uwierzytelniania, gdy używana jest rozszerzenie druid-basic-security z uwierzytelnianiem LDAP. Atakujący może obejść uwierzytelnianie, podając istniejącą nazwę użytkownika z pustym hasłem, co umożliwia dostęp do zastrzeżonych zasobów Druid bez ważnych poświadczeń.

Podatność typu Server-Side Request Forgery (SSRF) w oprogramowaniu Okulistik firmy Teknolist Computer Systems Software Publishing Industry and Trade Inc. umożliwia atakującym przeprowadzanie nieautoryzowanych żądań z serwera.

Agentflow opracowany przez Flowring ma lukę związaną z brakiem uwierzytelnienia, co pozwala nieautoryzowanym zdalnym atakującym na odczyt, modyfikację i usunięcie zawartości bazy danych przy użyciu określonej funkcjonalności.

Agentflow opracowany przez Flowring ma podatność na obejście uwierzytelniania, co pozwala nieautoryzowanym zdalnym atakującym wykorzystać określoną funkcjonalność do uzyskania dowolnego tokena uwierzytelniającego użytkownika i zalogowania się do systemu jako dowolny użytkownik.

SAP NetWeaver Application Server ABAP oraz ABAP Platform umożliwiają uwierzytelnionemu użytkownikowi o niskich uprawnieniach wykonywanie zdalnych wywołań funkcji w tle bez wymaganej autoryzacji S_RFC w niektórych przypadkach. Może to prowadzić do poważnego wpływu na integralność i dostępność systemu.

W systemach SAP CRM i SAP S/4HANA (Edytor skryptów) zidentyfikowano lukę, która pozwala uwierzytelnionemu atakującemu na wykorzystanie błędu w ogólnym wywołaniu modułu funkcji. Może to prowadzić do wykonania nieautoryzowanych krytycznych funkcji, w tym dowolnych zapytań SQL.

FUXA to oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard) działające w sieci. W wersjach od 1.2.8 do 1.2.10 występuje luka w autoryzacji, która pozwala nieautoryzowanemu, zdalnemu atakującemu na tworzenie i modyfikowanie dowolnych harmonogramów, co naraża podłączone środowiska ICS/SCADA na dalsze działania.