Katalog podatności CVE

Problem z obsługą ścieżek został rozwiązany poprzez poprawioną logikę. Luka występuje w systemach macOS (Sequoia, Sonoma, Tahoe) i może pozwolić aplikacji na dostęp do wrażliwych danych użytkownika.

MiniGal Nano w wersji 0.3.5 i wcześniejszych zawiera odbitą podatność XSS w pliku index.php przez parametr dir. Aplikacja konstruuje $currentdir z danych kontrolowanych przez użytkownika i osadza go w komunikacie błędu bez kodowania wyjścia, co pozwala atakującemu na dostarczenie HTML/JavaScript, które jest odbijane w odpowiedzi.

Kimai 2 zawiera trwałą podatność na cross-site scripting, która pozwala atakującym wstrzykiwać złośliwe skrypty do opisów czasów pracy. Atakujący mogą umieścić payloady XSS oparte na SVG w polu opisu, aby wykonać dowolny JavaScript podczas ładowania strony przez innych użytkowników.

Phraseanet 4.0.3 zawiera przechowywaną podatność na cross-site scripting, która pozwala uwierzytelnionym użytkownikom wstrzykiwać złośliwe skrypty przez spreparowane nazwy plików podczas przesyłania dokumentów. Atakujący mogą przesyłać pliki z osadzonymi skryptami SVG, które wykonują się w przeglądarce, potencjalnie kradnąc ciasteczka lub przekierowując użytkowników podczas przeglądania pliku.

Zgłoszono podatność na dereferencję wskaźnika NULL, która dotyczy kilku wersji systemu operacyjnego QNAP. Zdalny atakujący posiadający konto administratora może wykorzystać tę podatność do przeprowadzenia ataku typu denial-of-service (DoS).

Podatność CVE-2025-10912 dotyczy oprogramowania TemizlikYolda firmy Saastech Cleaning and Internet Services Inc. i polega na obejściu autoryzacji poprzez manipulację zmiennymi kontrolowanymi przez użytkownika.

DoraCMS w wersji 3.1 i wcześniejszych zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji zdalnego pobierania obrazów UEditor. Aplikacja akceptuje adresy URL podane przez użytkownika i wykonuje żądania HTTP lub HTTPS bez odpowiedniej walidacji lub ograniczeń docelowych. Implementacja nie egzekwuje list dozwolonych adresów, nie blokuje wewnętrznych ani prywatnych zakresów IP oraz nie stosuje limitów czasu odpowiedzi ani rozmiaru odpowiedzi.

Biblioteka cryptography dla Pythona przed wersją 46.0.5 nie weryfikuje, czy punkt klucza publicznego należy do oczekiwanej podgrupy krzywej. Brak walidacji umożliwia atakującemu dostarczenie punktu z małej podgrupy, co prowadzi do wycieku informacji o kluczu prywatnym w ECDH i umożliwia fałszowanie podpisów ECDSA. Podatność dotyczy krzywych SECT.

Substance3D Modeler w wersjach 1.22.5 i wcześniejszych ma podatność na odczyt poza zakresem, co może prowadzić do ujawnienia danych z pamięci. Atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji przechowywanych w pamięci. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

DNG SDK w wersjach 1.7.1 2410 i wcześniejszych ma podatność na odczyt poza zakresem, co może prowadzić do ujawnienia danych z pamięci. Atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji przechowywanych w pamięci. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

DNG SDK w wersjach 1.7.1 2410 i wcześniejszych zawiera podatność przepełnienia liczby całkowitej lub zawinięcia, która może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność, aby spowodować awarię lub zawieszenie aplikacji. Wykorzystanie tej podatności wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Błąd w interfejsie użytkownika Microsoft Exchange Server prowadzi do błędnej prezentacji krytycznych informacji, co umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku spoofingowego w sieci.

InDesign Desktop w wersjach 21.1, 20.5.1 i wcześniejszych ma podatność na przepełnienie bufora na stercie, co może prowadzić do odmowy usługi. Atakujący może wykorzystać tę podatność do spowodowania awarii aplikacji, co zakłóca działanie usług. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

After Effects w wersjach 25.6 i wcześniejszych zawiera podatność polegającą na wyłuskaniu wskaźnika NULL, która może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność, aby spowodować awarię aplikacji, co zakłóca świadczenie usług. Wykorzystanie tej podatności wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Substance3D Designer w wersjach 15.1.0 i wcześniejszych ma podatność na odczyt poza zakresem, co może prowadzić do ujawnienia danych z pamięci. Atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji przechowywanych w pamięci. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Substance3D Designer w wersjach 15.1.0 i wcześniejszych ma podatność na odczyt poza zakresem, co może prowadzić do ujawnienia danych z pamięci. Atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji przechowywanych w pamięci. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Substance3D - Designer w wersjach 15.1.0 i wcześniejszych zawiera podatność polegającą na wyłuskaniu wskaźnika NULL, która może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność, aby spowodować awarię aplikacji, co zakłóca świadczenie usług. Wykorzystanie tej podatności wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Substance3D Designer w wersjach 15.1.0 i wcześniejszych ma podatność na odczyt poza zakresem, co może prowadzić do ujawnienia danych z pamięci. Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych informacji przechowywanych w pamięci. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Substance3D - Designer w wersjach 15.1.0 i wcześniejszych zawiera podatność polegającą na wyłuskaniu wskaźnika NULL, która może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność, aby spowodować awarię aplikacji, co zakłóca świadczenie usług. Wykorzystanie tej podatności wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.