Katalog podatności CVE

Podatność CVE-2025-6075 dotyczy funkcji os.path.expandvars(), która może powodować spadek wydajności, jeśli wartość przekazana do tej funkcji jest kontrolowana przez użytkownika. W takim przypadku, podczas rozwijania zmiennych środowiskowych, może wystąpić degradacja wydajności.

Poprzez manipulację protokołem Signal Level Attenuation Characterization (SLAC) za pomocą sfałszowanych pomiarów atakujący może przeprowadzić atak man-in-the-middle między pojazdem elektrycznym a ładowarkami zgodnymi z ISO 15118-2. Podatność może być wykorzystana bezprzewodowo, w bliskiej odległości, poprzez indukcję elektromagnetyczną.

Wtyczka Analytify Pro dla WordPressa (wersje do 7.0.3 włącznie) jest podatna na ujawnienie poufnych informacji poprzez szczegóły HTML tagu Analytify. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie nazw użytkowników z kodu źródłowego.

W Afterlogic Aurora webmail w wersji 9.8.3 i niższych występuje podatność XSS. Atakujący może wysłać specjalnie spreparowaną wiadomość HTML z JavaScriptem w tagu img, co pozwala na wykonanie dowolnego kodu w przeglądarce użytkownika i dostęp do danych.

Nagios XI w wersjach wcześniejszych niż 2024R1.1 jest podatny na Cross-Site Scripting (XSS), gdy użytkownik odwiedza stronę 'brakującej strony' (404) po kliknięciu linku z innej witryny. Komponent page-missing.php nie waliduje ani nie escape'uje poprawnie danych wejściowych, co pozwala atakującemu na stworzenie złośliwego linku, który po odwiedzeniu przez ofiarę wykonuje dowolny JavaScript w jej przeglądarce w domenie Nagios XI.

Potencjalne ujawnienie wrażliwych informacji w plikach dziennika w urządzeniach SonicWall SMA100 Series może pozwolić zdalnemu, uwierzytelnionemu administratorowi w pewnych warunkach na przeglądanie częściowych danych poświadczeń użytkowników.

Wtyczka ERI File Library do WordPressa do wersji 1.1.0 ma podatność na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'erifl_file'. Nieuwierzytelnieni atakujący mogą pobierać pliki ograniczone do określonych ról użytkowników.

Wtyczka Depicter dla WordPressa do wersji 4.0.4 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji depicter-document-rules-store. Umożliwia to nieuwierzytelnionym atakującym modyfikację reguł dokumentów poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia linku.

Złośliwa treść z wiadomości e-mail może zostać użyta do przeprowadzenia ataku typu redressing. Użytkownicy mogą zostać oszukani, aby wykonać niezamierzone działania lub przekazać wrażliwe informacje stronie trzeciej, co umożliwia dalsze zagrożenia. Wartości atrybutów zawierające fragmenty HTML są teraz odrzucane przez procedurę sanityzacji. Nie są znane publicznie dostępne exploity.

Wtyczka The Events Calendar dla WordPressa jest podatna na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień w punkcie końcowym AJAX 'tec_qr_code_modal' we wszystkich wersjach do 6.15.9 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym podgląd nazw wydarzeń w wersji roboczej oraz generowanie/przeglądanie kodów QR dla nich.

Wtyczka OOPSpam Anti-Spam dla WordPressa w wersjach do 1.2.53 włącznie jest podatna na fałszowanie nagłówków IP. Wtyczka ufa nagłówkom przekazywanym przez klienta (np. CF-Connecting-IP, X-Forwarded-For) bez weryfikacji, czy pochodzą one z zaufanych proxy, co pozwala nieuwierzytelnionym atakującym na podszywanie się pod dowolny adres IP.

Wtyczka Zombify dla WordPressa do wersji 1.7.5 włącznie jest podatna na Path Traversal z powodu niewystarczającej walidacji wejścia w funkcji zf_get_file_by_url. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym odczyt dowolnych plików na serwerze, w tym wrażliwych plików systemowych jak /etc/passwd, poprzez spreparowane żądanie. Skuteczne wykorzystanie zależy od wyścigu (race condition), ponieważ wygenerowany plik jest natychmiast usuwany.

Wtyczka RealPress dla WordPressa przed wersją 1.1.0 rejestruje trasy REST bez odpowiednich sprawdzeń uprawnień, co pozwala na tworzenie stron i wysyłanie e-maili z witryny.

Wtyczka FuseWP dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji save_changes() w wersjach do 1.1.23.0 włącznie. Nieuwierzytelnieni atakujący mogą dodawać i edytować reguły synchronizacji.

Wtyczka Qzzr Shortcode dla WordPressa do wersji 1.0.1 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'quiz' w shortcode 'qzzr' z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać skrypty.

W Brave Browser Desktop przed 1.83.10 z włączoną funkcją podziału widoku, opcja 'Open Link in Split View' nie respektowała atrybutu SameSite cookie. W rezultacie ciasteczka SameSite=Strict były wysyłane podczas nawigacji między witrynami.

W Revive Adserver w wersji 5.5.2 zidentyfikowano podatność typu reflected Cross-Site Scripting (XSS). Atakujący może nakłonić użytkownika mającego dostęp do interfejsu Revive Adserver do kliknięcia specjalnie spreparowanego URL i wykonania wstrzykniętego kodu JavaScript w kontekście przeglądarki ofiary. Podatność występuje w pliku admin-search.php i jest wykorzystywana przez parametr compact.

Nagios XI w wersjach przed 2024R1.4.2 ujawniał klucze API użytkownikom, którzy nie mieli uprawnień do dostępu API, podczas korzystania z motywów Neptune. Uwierzytelniony użytkownik bez uprawnień API mógł zobaczyć wartość klucza API innego użytkownika lub własnego.

Nagios Network Analyzer w wersjach starszych niż 2024R1 zawiera podatność typu stored cross-site scripting (XSS) na stronie Source Groups (menu kalkulatora percentyli). Atakujący może dostarczyć złośliwy ładunek, który jest przechowywany przez aplikację i później renderowany w kontekście innych użytkowników. Gdy ofiara wyświetli dotkniętą stronę, wstrzyknięty skrypt wykona się w kontekście jej przeglądarki.

Nagios Log Server w wersjach przed 2024R2.0.3 zawiera podatność nieprawidłowej autoryzacji, która pozwala użytkownikom niebędącym administratorami usuwać globalne dashboardy. Aplikacja nie egzekwowała poprawnie kontroli autoryzacji dla procesu usuwania globalnych dashboardów, umożliwiając użytkownikom o niższych uprawnieniach usuwanie dashboardów wpływających na innych użytkowników lub ogólny interfejs monitoringu.