Katalog podatności CVE

IBM DevOps Plan 3.0.0 do 3.0.5 przechowuje pamięć podręczną stron internetowych lokalnie, co pozwala innemu użytkownikowi systemu na jej odczyt.

IBM DevOps Plan 3.0.0 do 3.0.5 używa nieodpowiedniego ustawienia blokady konta, co może pozwolić zdalnemu atakującemu na brute force poświadczeń konta.

DOMPurify w wersjach 3.1.3 do 3.2.6 oraz 2.5.3 do 2.5.8 zawiera podatność na cross-site scripting, która pozwala atakującym ominąć sanityzację atrybutów poprzez wykorzystanie braku walidacji elementów rawtext textarea w wyrażeniu regularnym SAFE_FOR_XML. Atakujący mogą umieścić zamykające tagi rawtext, takie jak </textarea>, w wartościach atrybutów, aby wyrwać się z kontekstu rawtext i wykonać JavaScript, gdy zsanityzowany wynik zostanie umieszczony wewnątrz elementów rawtext. Gałąź 3.x została naprawiona w wersji 3.2.7; gałąź 2.x nie została nigdy załatana.

Podatność w systemie WatchGuard Fireware OS może pozwolić atakującemu na obejście kontroli integralności systemu plików Fireware OS i utrzymanie ograniczonej trwałości poprzez złośliwie spreparowany pakiet aktualizacji oprogramowania.

Podatność na odzwierciedlony atak XSS w interfejsie webowym Fireware OS umożliwia wykonanie złośliwego JavaScriptu w przeglądarce uwierzytelnionego użytkownika zarządzającego po kliknięciu specjalnie spreparowanego linku.

W Apache Ranger w wersjach do 2.7.0 wykryto problem z pomijaniem weryfikacji nazwy hosta w kliencie NiFiRegistryClient. Zalecane jest uaktualnienie do wersji 2.8.0, która naprawia ten problem.

Przesyłanie wrażliwych informacji w postaci jawnego tekstu (CWE-319) w komponencie używanym w integracjach Gallagher Hanwha VMS i Gallagher NxWitness VMS pozwala nieuprzywilejowanym użytkownikom z lokalnym dostępem do sieci na podglądanie na żywo strumieni wideo.

Przechowywanie wrażliwych informacji w postaci jawnego tekstu (CWE-312) w Command Centre Mobile Client na Android i iOS może umożliwić atakującemu z dostępem do zalogowanego urządzenia operatora wyodrębnienie tokena sesji i wykorzystanie dostępu przez ograniczony czas. Problem dotyczy wersji Command Centre Mobile Client wcześniejszych niż 9.40.123.

W funkcji isPackageNullOrSystem w AppOpsService.java występuje możliwość trwałego ataku typu denial of service z powodu nieprawidłowej walidacji danych wejściowych. Może to prowadzić do lokalnego denial of service bez potrzeby dodatkowych uprawnień. Interakcja użytkownika nie jest wymagana do wykorzystania podatności.

W funkcji setHideSensitive w ExpandableNotificationRow.java występuje możliwy wyciek nazwy kontaktu z powodu błędu logicznego w kodzie. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień. Interakcja użytkownika nie jest wymagana do wykorzystania.

W ExtremeCloud IQ – Site Engine (XIQ‑SE) przed wersją 26.2.10 występuje podatność w interfejsie administracyjnym NAC, która pozwala uwierzytelnionemu administratorowi NAC na odzyskanie zamaskowanych wrażliwych parametrów z odpowiedzi HTTP. Mimo że dane uwierzytelniające wydają się być zredagowane w interfejsie użytkownika, aplikacja zwraca rzeczywiste wartości tych danych w odpowiedzi HTTP.

Podatność CVE-2025-11950 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w EduAsist przed wersją 2.1, co pozwala na ataki typu Reflected XSS.

W aplikacji VideoLAN VLC dla systemu Android przed wersją 3.7.0 wykryto podatność na przechodzenie do katalogów nadrzędnych (path traversal) w serwerze zdalnego dostępu. Podatność występuje w uwierzytelnionym punkcie końcowym GET /download, gdzie parametr file jest łączony ze ścieżką systemu plików bez odpowiedniej kanonizacji ani sprawdzania ograniczeń katalogowych. Umożliwia to uwierzytelnionemu atakującemu z dostępem sieciowym do serwera zdalnego dostępu żądanie plików spoza zamierzonego katalogu.

Podatność ataku na nagłówek Host HTTP w aplikacjach WebClient i WebScheduler PcVue (wersje 15.0.0 do 16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie szkodliwych ładunków manipulujących działaniem serwera. Problem dotyczy konkretnych endpointów: /Authentication/ExternalLogin, /Authentication/AuthorizationCodeCallback oraz /Authentication/Logout.

W aplikacjach webowych GraphicalData i WebClient oprogramowania PcVue w wersjach od 12.0.0 do 16.3.3 brakuje atrybutów Secure i SameSite w ciasteczkach. Umożliwia to ataki przechwytywania sesji oraz ataki CSRF.

Serwer WWW nie ustawia prawidłowo niektórych nagłówków bezpieczeństwa HTTP w odpowiedziach wysyłanych do aplikacji klienckiej. Może to prowadzić do osłabienia ochrony przed atakami typu XSS, clickjacking czy inne zagrożenia związane z brakiem odpowiednich nagłówków.

Podatność XSS w usługach OAuth PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego kodu na stronę błędu serwera OAuth. Atak wymaga nakłonienia uwierzytelnionego użytkownika do załadowania treści z zewnętrznej strony po nieudanym logowaniu.

Podatność w PcVue (wersje 12.0.0–16.3.3) powoduje, że domyślna konfiguracja IIS i ASP.NET dodaje nagłówki HTTP, które nie są usuwane podczas wdrażania usług sieciowych dla funkcji WebVue, WebScheduler, TouchVue i SnapVue. Umożliwia to niepotrzebne ujawnianie poufnych informacji o konfiguracji serwera.

Brak walidacji pochodzenia w WebSocketach w interfejsach WebVue, WebScheduler, TouchVue i SnapVue oprogramowania PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu nakłonienie uwierzytelnionego użytkownika do odwiedzenia złośliwej strony. Podatność dotyczy tylko endpointów GraphicalData/js/signalR/connect i GraphicalData/js/signalR/reconnect.

Podatność XSS w potoku internacjonalizacji (i18n) Angulara pozwala na wykonanie dowolnego kodu JavaScript w aplikacji, jeśli atakujący skompromituje plik tłumaczeń. Problem dotyczy wersji przed 21.2.0, 21.1.16, 20.3.17 i 19.2.19, gdzie HTML z przetłumaczonych komunikatów ICU nie był odpowiednio sanityzowany.