Katalog podatności CVE

W bibliotece GnuTLS wykryto podatność w funkcji gnutls_pkcs11_token_init() odpowiedzialnej za inicjalizację tokenów PKCS#11. Przetwarzanie etykiety tokena dłuższej niż oczekiwano powoduje zapis poza granicami bufora na stosie, co może prowadzić do awarii aplikacji lub potencjalnie do wykonania kodu.

W bibliotece mapstructure dla języka Go wykryto podatność polegającą na ujawnianiu informacji przez szczegółowe komunikaty błędów. Funkcja WeakDecode może zwracać wrażliwe dane wejściowe w komunikatach o błędach podczas przetwarzania nieprawidłowo sformatowanych danych.

W jądrze Linux wykryto podatność w sterowniku IP over GRE (ip_gre), która umożliwia awarię systemu przez wywołanie paniki jądra. Problem wynika z braku odpowiedniego sprawdzenia dostępnego miejsca w buforze sieciowym (skb) przed dodaniem nagłówka GRE, co może być wykorzystane przez atakującego do wywołania błędu skb_under_panic.

W jądrze Linux wykryto podatność w mechanizmie XSAVE/XRSTOR dla maszyn wirtualnych KVM. Gdy stan XSTATE_BV wskazuje na włączenie funkcji wyłączonej przez XFD, próba przywrócenia tego stanu przez XRSTOR powoduje błąd #NM i panikę jądra. Problem występuje przy ładowaniu stanu gościa przez KVM_SET_XSAVE lub przy aktualizacji XFD w odpowiedzi na WRMSR gościa.

W jądrze Linux stwierdzono podatność w sterowniku DMA idxd, powodującą wycieki referencji urządzenia podczas operacji wiązania i odwiązania w trybie zgodności (compat). Brak zwalniania referencji prowadzi do nieprawidłowego zarządzania pamięcią.

Wtyczka Wizit Gateway for WooCommerce dla WordPressa jest podatna na nieuwierzytelnione dowolne anulowanie zamówień we wszystkich wersjach do 1.3.1 włącznie. Wynika to z braku kontroli uwierzytelniania i autoryzacji w funkcji 'handle_checkout_redirecturl_response'. Umożliwia to nieuwierzytelnionym atakującym anulowanie dowolnych zamówień WooCommerce poprzez wysłanie spreparowanego żądania z prawidłowym identyfikatorem zamówienia.

Podatność w backendzie PHP systemu gemscms.aptsys.com.sg (do 28 maja 2025) umożliwia nieuwierzytelnionym atakującym zdalne wywołanie szczegółowych komunikatów błędów, które ujawniają wewnętrzne ścieżki plików, fragmenty kodu źródłowego oraz ślady stosu wywołań. Wystarczy wysłać specjalnie spreparowane żądania HTTP GET/POST do publicznych punktów końcowych API.

Podatność w backendzie PHP aplikacji gemsloyalty.aptsys.com.sg (do 2025-05-28) pozwala nieuwierzytelnionym atakującym na wywołanie szczegółowych komunikatów błędów, które ujawniają wewnętrzne ścieżki plików, fragmenty kodu i ślady stosu. Wystarczy wysłać specjalnie spreparowane żądania HTTP GET/POST do publicznych punktów końcowych API.

LavaLite CMS w wersjach do 10.1.0 zawiera podatność na trwałe cross-site scripting (XSS) w funkcji tworzenia i wyszukiwania pakietów. Zautoryzowani użytkownicy mogą wstrzyknąć złośliwy kod HTML lub JavaScript w pola Nazwa lub Opis pakietu, który jest przechowywany i wyświetlany bez odpowiedniego kodowania w wynikach wyszukiwania. Gdy inni użytkownicy przeglądają wyniki zawierające złośliwy pakiet, skrypt wykonuje się w ich przeglądarkach.

W jądrze Linux wykryto wyciek licznika referencji w funkcji bpf_prog_test_run_xdp(). Problem pojawia się, gdy ścieżka obsługi błędów nie wywołuje xdp_convert_buff_to_md(), co prowadzi do blokowania interfejsu sieciowego (np. sit0) i uniemożliwia jego zwolnienie.

W sterowniku sieciowym ocelot dla układów Microsemi występuje błąd powodujący awarię (crash) podczas dodawania interfejsu do grupy LAG. Problem wynika z wyłuskania wskaźnika NULL w funkcji ocelot_set_aggr_pgids(), gdy port nie jest zarejestrowany (dotyczy frontendu ocelot_vsc7514.c).

W jądrze Linux wykryto wyciek pamięci w funkcji skb_segment_list() używanej do segmentacji pakietów GRO. Problem wynika z nieaktualnej logiki księgowania rozmiaru (truesize) po zmianie sposobu orphania fragmentów w commit ed4cccef64c1. Powoduje to trwałe blokowanie zwalniania gniazd sieciowych.

Podatność CVE-2025-2204 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Tap&Sign firmy Tapandsign Technologies. Umożliwia to ataki typu Cross-Site Scripting (XSS).

Wykryto słabość uwierzytelniania w kontrolerach, bramkach i punktach dostępowych Omada podczas procesu adopcji urządzeń, wynikającą z nieprawidłowego obsługiwania wartości losowych. Eksploatacja wymaga zaawansowanej pozycji w sieci i umożliwia atakującemu przechwycenie ruchu adopcyjnego oraz sfałszowanie poprawnego uwierzytelnienia poprzez wcześniejsze obliczenia, co może ujawnić wrażliwe informacje i naruszyć poufność.

Wtyczka The Grid firmy ThemeOne zawiera podatność braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.8.0 włącznie.

W TMS Management Console 6.3.7.27386.20250818 od TMS Global Software wykryto podatność na path traversal w funkcji „Download Template” w panelu profilu. Brak neutralizacji sekwencji „../” w parametrze filePath umożliwia uwierzytelnionym użytkownikom odczyt dowolnych plików, np. Web.config serwera.

Podatność CVE-2025-4763 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Hotel Guest Hotspot firmy Aida Computer Information Technology Inc. Umożliwia to ataki typu Reflected XSS.

Discord do 2026-01-16 pozwala na uzyskanie informacji, czy klient użytkownika jest w stanie Invisible (a nie faktycznie offline), ponieważ odpowiedź na żądanie WebSocket API zawiera użytkownika w tablicy presences ze statusem "offline", podczas gdy użytkownicy offline są pomijani. Jest to niezgodne z opisem w interfejsie, że Invisible oznacza "będziesz wyglądać na offline". Według doniesień zewnętrznych problem został później naprawiony w 2026 roku.

Podatność XSS w Argo Workflows umożliwia wykonanie dowolnego kodu JavaScript w przeglądarce innego użytkownika poprzez listowanie katalogów artefaktów. Problem występuje przed wersjami 3.6.17 i 3.7.8.

Podatność w bibliotece Lodash w wersjach od 4.0.0 do 4.17.22 umożliwia zanieczyszczenie prototypu przez funkcje _.unset i _.omit. Atakujący może przekazać spreparowane ścieżki, które powodują usunięcie metod z globalnych prototypów.