Katalog podatności CVE

Output Messenger w wersjach przed 2.0.63 był podatny na atak directory traversal poprzez nieprawidłowe przetwarzanie ścieżek plików. Poprzez sekwencje ../ w parametrach atakujący mogli uzyskać dostęp do wrażliwych plików poza zamierzonym katalogiem.

ScreenConnect w wersjach 25.2.3 i wcześniejszych może być podatny na atak wstrzyknięcia kodu ViewState. Aby wykorzystać tę podatność, atakujący musi najpierw uzyskać uprzywilejowany dostęp na poziomie systemu w celu pozyskania kluczy maszynowych.

Commvault Web Server zawiera nieokreśloną podatność, którą może wykorzystać zdalny, uwierzytelniony atakujący. Zgodnie z advisory Commvault: "Webservers can be compromised through bad actors creating and executing webshells."

Craft to elastyczny, przyjazny dla użytkownika system zarządzania treścią (CMS), który umożliwia tworzenie niestandardowych doświadczeń cyfrowych. Wersje od 3.0.0-RC1 do przed 3.9.15, 4.0.0-RC1 do przed 4.14.15 oraz 5.0.0-RC1 do przed 5.6.17 są podatne na zdalne wykonanie kodu.

SAP NetWeaver Visual Composer Metadata Uploader nie jest odpowiednio zabezpieczony autoryzacją, co pozwala nieuwierzytelnionemu agentowi na przesyłanie potencjalnie złośliwych plików wykonywalnych, które mogą poważnie zaszkodzić systemowi. Wpływa to na poufność, integralność i dostępność systemu.

W systemie Brocade Fabric OS począwszy od wersji 9.1.0 usunięto dostęp root, jednak lokalny użytkownik z uprawnieniami administratora może potencjalnie wykonać dowolny kod z pełnymi uprawnieniami root w wersjach od 9.1.0 do 9.1.1d6.

Commvault Command Center Innovation Release w wersjach od 11.38.0 do 11.38.20 pozwala nieuwierzytelnionemu atakującemu na przesyłanie plików ZIP reprezentujących pakiety instalacyjne, które po rozpakowaniu na serwerze docelowym są podatne na path traversal, co może prowadzić do zdalnego wykonania kodu przez złośliwe JSP.

Active! mail 6 BuildInfo: 6.60.05008561 i wcześniejsze zawiera podatność przepełnienia bufora na stosie. Otrzymanie specjalnie spreparowanego żądania od zdalnego nieuwierzytelnionego atakującego może prowadzić do wykonania dowolnego kodu i/lub warunku odmowy usługi (DoS).

Erlang/OTP przed wersjami OTP-27.3.3, OTP-26.2.5.11 i OTP-25.3.2.20 zawiera podatność w serwerze SSH, która może pozwolić atakującemu na nieuwierzytelnione zdalne wykonanie kodu (RCE). Wykorzystując błąd w obsłudze komunikatów protokołu SSH, osoba atakująca może uzyskać nieautoryzowany dostęp do systemów i wykonywać dowolne polecenia bez ważnych poświadczeń.

Problem ten został rozwiązany poprzez usunięcie podatnego kodu. Został naprawiony w wersjach iOS 18.4.1, iPadOS 18.4.1, macOS Sequoia 15.4.1, tvOS 18.4.1 oraz visionOS 2.4.1.

Wystąpił problem z uszkodzeniem pamięci, który został rozwiązany poprzez poprawę sprawdzania granic. Problem ten został naprawiony w iOS 18.4.1, iPadOS 18.4.1, macOS Sequoia 15.4.1, tvOS 18.4.1, visionOS 2.4.1 oraz watchOS 11.5.

Yii 2 przed wersją 2.0.52 nieprawidłowo obsługuje dołączanie behavior zdefiniowanego przez klucz tablicy __class, co jest regresją CVE-2024-4990, wykorzystywaną w środowisku naturalnym od lutego do kwietnia 2025.

Use after free w Windows Common Log File System Driver pozwala autoryzowanemu atakującemu na lokalne podniesienie uprawnień.

Podatność w Langflow przed wersją 1.3.0 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknięcie kodu przez endpoint /api/v1/validate/code. Wykorzystanie podatności pozwala na wykonanie dowolnego kodu na serwerze.

CrushFTP 10 przed 10.8.4 i 11 przed 11.3.1 umożliwia obejście uwierzytelniania i przejęcie konta crushadmin (chyba że używana jest instancja DMZ proxy), co było wykorzystywane w środowisku naturalnym w marcu i kwietniu 2025. Podatność wynika z wyścigu w metodzie autoryzacji AWS4-HMAC (zgodnej z S3) w komponencie HTTP serwera FTP. Serwer najpierw weryfikuje istnienie użytkownika przez wywołanie login_user_pass() bez wymogu hasła, co uwierzytelnia sesję przez proces weryfikacji HMAC. Dodatkowo, wysyłając zniekształcony nagłówek AWS4-HMAC, można ustabilizować atak, eliminując potrzebę wygrania wyścigu, co prowadzi do błędu poza zakresem i zatrzymania kodu przed sprzątaniem sesji.

Gladinet CentreStack do wersji 16.1.10296.56315 (poprawione w 16.4.10315.56368) zawiera podatność deserializacji z powodu użycia zaszytego na stałe machineKey w portalu CentreStack, co było wykorzystywane w środowisku naturalnym w marcu 2025. Umożliwia to atakującym (znającym machineKey) serializację ładunku do deserializacji po stronie serwera w celu zdalnego wykonania kodu.

Przepełnienie bufora na stosie w Ivanti Connect Secure przed wersją 22.7R2.6, Ivanti Policy Secure przed 22.7R1.4 oraz Ivanti ZTA Gateways przed 22.8R2.2. Pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu.

Vite to framework narzędziowy frontendowy dla JavaScript. Vite ujawnia zawartość niedozwolonych plików przy użyciu ?inline&import lub ?raw?import. Podatność dotyczy tylko aplikacji, które jawnie wystawiają serwer deweloperski Vite do sieci (za pomocą opcji --host lub server.host). Podatność naprawiono w wersjach 6.2.4, 6.1.3, 6.0.13, 5.4.16 i 4.5.11.

Nieprawidłowy uchwyt w nieokreślonych okolicznościach w Mojo w Google Chrome na Windows przed wersją 134.0.6998.177 pozwalał zdalnemu atakującemu na ucieczkę z piaskownicy poprzez złośliwy plik.

W urządzeniach D-Link DIR-823X w wersjach 240126 i 240802 występuje podatność na wstrzykiwanie poleceń, która pozwala autoryzowanemu atakującemu na wykonanie dowolnych poleceń na zdalnych urządzeniach. Atakujący może to osiągnąć, wysyłając żądanie POST do /goform/set_prohibiting.