Katalog podatności CVE

Podatność CVE-2025-8308 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie INFOREX - General Information Management System, co pozwala na ataki typu XSS poprzez nagłówki HTTP. Problem ten dotyczy wersji systemu od 2025 roku i wcześniejszych do 18 lutego 2026 roku.

W Wispotter, produkcie firmy Doruk Communication and Automation Industry and Trade Inc., występuje podatność związana z niewłaściwym ograniczeniem nadmiernych prób uwierzytelnienia, co umożliwia ataki typu brute force na hasła. Problem dotyczy wersji od 1.0 do przed v2025.10.08.1.

W podatności CVE-2025-7706 w oprogramowaniu Liderahenk występuje brak uwierzytelnienia dla krytycznej funkcji, co umożliwia zdalne włączenie kodu. Problem dotyczy wersji Liderahenk od 3.0.0 do 3.3.1 przed 3.5.0.

Podatność CVE-2025-8303 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w skrypcie nieruchomości EKA Software. Umożliwia to ataki typu Cross-Site Scripting (XSS).

W jądrze Linux w systemie plików Ceph występuje błąd prowadzący do oops (awarii jądra) podczas odczytu katalogów snapshotów (.snap). Zmienna str jest chroniona przez __free(kfree), ale jest przesuwana o jeden w celu pominięcia początkowego '_' w nazwach snapshotów, co powoduje wywołanie kfree() z nieprawidłowym wskaźnikiem.

W jądrze Linuxa zidentyfikowano podatność, która prowadzi do zastoju systemu z powodu oczekiwania procesów na zakończenie operacji zapisu stron metadanych w systemie plików btrfs. Problem dotyczy mechanizmu ograniczania zanieczyszczenia pamięci, który w niektórych przypadkach może prowadzić do deadlocku.

W jądrze Linux naprawiono błąd w segmentacji GSO dla pakietów GRO z listą frag_list, który powodował niską przepustowość podczas translacji protokołów IPv4/IPv6 przez XLAT. Problem polegał na tym, że funkcja skb_segment_list nieprawidłowo przetwarzała pakiety GRO po translacji, ponieważ XLAT tłumaczy tylko nagłówek głównego skb, pozostawiając skb w frag_list nietknięte. Łata wymusza ustawienie flagi SKB_GSO_DODGY dla pakietów GSO w helperach translacji, co powoduje użycie bezpieczniejszej funkcji skb_segment zamiast skb_segment_list.

W jądrze systemu Linux zidentyfikowano podatność w funkcji btrfs: send, która nieprawidłowo sprawdza inline extents w funkcji range_is_hole_in_parent(). Niewłaściwy dostęp do pola disk_bytenr może prowadzić do nieprawidłowego dostępu do pamięci, co jest szczególnie niebezpieczne w przypadku inline extents.

W jądrze Linux w funkcji unittest_data_add() występuje wyciek pamięci. Jeśli funkcja of_resolve_phandles() zakończy się niepowodzeniem, przydzielona pamięć unittest_data nie jest zwalniana, co prowadzi do wycieku pamięci.

W jądrze Linuxa w podsystemie io_uring/io-wq występuje problem, który może prowadzić do długotrwałego blokowania procesu wyjścia (exit) wątków roboczych io-wq. Podczas przetwarzania dużych operacji odczytu (np. 2GB - 4096b) z plików /dev/msr*, które nie obsługują interfejsu ->read_iter(), każdy odczyt może trwać nawet 20 sekund, co przy wielu oczekujących zadaniach powoduje przekroczenie limitu czasu (140 sekund) i zgłoszenie błędu przez mechanizm hung_task.

Podatność w bibliotece beautiful-mermaid przed wersją 0.1.3 umożliwia wstrzyknięcie atrybutów SVG, co prowadzi do podatności na skrypty między witrynami (XSS) podczas renderowania diagramów Mermaid kontrolowanych przez atakującego. Wartości pochodzące od użytkownika z dyrektyw style i classDef są interpolowane do wartości atrybutów SVG bez odpowiedniego kodowania, co pozwala na wyrwanie się z kontekstu atrybutu i wstrzyknięcie dowolnych elementów/atrybutów SVG do wyrenderowanego wyniku.

W funkcjonalności profilu użytkownika 'Moje szczegóły' w Ideagen Q-Pulse 7.1.0.32 stwierdzono podatność, która pozwala uwierzytelnionemu użytkownikowi na przeglądanie danych profilowych innych użytkowników poprzez modyfikację parametru HTTP objectKey w adresie URL strony 'Moje szczegóły'.

Podatność CVE-2025-13004 dotyczy oprogramowania E-Commerce Package firmy Farktor Software E-Commerce Services Inc. i pozwala na obejście autoryzacji poprzez manipulację zmiennymi kontrolowanymi przez użytkownika.

Podatność w Safari i systemach Apple umożliwia awarię procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę obsługi pamięci.

Podatność w WebKit umożliwia awarię procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę obsługi pamięci w Safari 26.3, iOS 26.3, iPadOS 26.3, macOS Tahoe 26.3 oraz visionOS 26.3.

Podatność w Safari i systemach Apple pozwala na nieoczekiwane zakończenie procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę obsługi pamięci.

Problem z uprawnieniami został rozwiązany poprzez dodatkowe ograniczenia. Poprawka jest dostępna w macOS Sequoia 15.7.4, macOS Sonoma 14.8.4 i macOS Tahoe 26.3. Aplikacja może uzyskać dostęp do chronionych danych użytkownika.

Problem dotyczył obsługi zmiennych środowiskowych. Został rozwiązany poprzez ulepszoną walidację. Poprawka jest dostępna w iOS 26.3, iPadOS 26.3, macOS Sequoia 15.7.4, macOS Sonoma 14.8.4, macOS Tahoe 26.3, visionOS 26.3 i watchOS 26.3. Aplikacja może uzyskać dostęp do wrażliwych danych użytkownika.

Problem z uprawnieniami został rozwiązany poprzez usunięcie podatnego kodu. Poprawka jest dostępna w macOS Sequoia 15.7.4 i macOS Tahoe 26.3. Aplikacja może uzyskać dostęp do chronionych danych użytkownika.

Podatność w WebKit umożliwia awarię procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę zarządzania stanem.