Katalog podatności CVE

W implementacji algorytmu SM2 na 64-bitowych platformach ARM wykryto podatność na atak typu timing side-channel, który może potencjalnie umożliwić zdalne odzyskanie klucza prywatnego. Podatność ta nie dotyczy standardowych konfiguracji TLS w OpenSSL, ale może być wykorzystana w niestandardowych scenariuszach z użyciem certyfikatów SM2.

Przechowywanie plików cookie dla tymczasowych dokumentów nie-HTML było nieprawidłowo współdzielone z normalną zawartością przeglądania, co umożliwiało ucieczkę informacji z prywatnych kart do trybu incognito nawet po zamknięciu wszystkich kart przez użytkownika. Podatność została naprawiona w Firefox dla iOS 143.1.

W Esri Portal for ArcGIS 11.4 i starszych występuje podatność trwałego Cross-site Scripting (stored XSS), która może pozwolić zdalnemu, uwierzytelnionemu atakującemu na wstrzyknięcie złośliwego pliku z osadzonym skryptem XSS, który po załadowaniu może potencjalnie wykonać dowolny kod JavaScript w przeglądarce ofiary. Wymagane uprawnienia do przeprowadzenia tego ataku są wysokie. Atak może ujawnić uprzywilejowany token, co może skutkować uzyskaniem przez atakującego pełnej kontroli nad Portalem.

W Esri Portal for ArcGIS 11.4 i starszych występuje podatność odbitego Cross-site Scripting (reflected XSS), która może pozwolić zdalnemu, uwierzytelnionemu atakującemu z dostępem administracyjnym na dostarczenie spreparowanego ciągu znaków, który wykona dowolny kod JavaScript w przeglądarce.

W Esri Portal for ArcGIS 11.4 i nowszych wersjach występuje odbita podatność na cross-site scripting (XSS). Zdalny uwierzytelniony atakujący z uprawnieniami administracyjnymi może dostarczyć spreparowany ciąg znaków, który wykona dowolny kod JavaScript w przeglądarce.

W aplikacji Payeer na Androida w wersji 2.5.0 wykryto podatność polegającą na nieprawidłowej kontroli dostępu w procesie zmiany kodu PIN. Lokalny atakujący z dostępem root do urządzenia może dynamicznie manipulować aplikacją, aby ominąć weryfikację bieżącego PIN-u i bezpośrednio zmienić kod PIN. Umożliwia to nieautoryzowanym użytkownikom zmianę PIN-u bez znajomości oryginalnego/aktualnego kodu.

W systemie FairSketch RISE Ultimate Project Manager & CRM 3.9.4 wykryto podatność na atak XSS (przechowywany). Administrator może wstrzyknąć złośliwy kod JavaScript podczas tworzenia nowych folderów w eksploratorze plików panelu administracyjnego.

Podatność znaleziono w mirweiye wenkucms do wersji 3.4. Wpływa na funkcję createPathOne w pliku app/common/common.php. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony i może być użyty.

W urządzeniu D-Link DIR-823X w wersji 250416 wykryto podatność w nieznanej funkcji pliku /goform/set_wifi_blacklists. Manipulacja argumentem macList prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W urządzeniu D-Link DIR-823X w wersji 250416 wykryto podatność w nieznanym kodzie pliku /goform/delete_offline_device. Manipulacja argumentem delvalue prowadzi do wstrzyknięcia poleceń. Zdalne wykorzystanie jest możliwe, a exploit jest publicznie dostępny.

W aplikacji zhuimengshaonian wisdom-education (wersje do 1.0.4) wykryto podatność w funkcji selectStudentExamInfoList w pliku ExamInfoController.java. Manipulacja argumentem subjectId prowadzi do nieprawidłowej autoryzacji. Exploit jest publicznie ujawniony.

Wtyczka Sync Feedly dla WordPressa (wszystkie wersje do 1.0.1 włącznie) jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji crsf_cron_job_func. Nieuwierzytelniony atakujący może wywołać synchronizację treści z Feedly, potencjalnie tworząc wiele postów poprzez sfałszowane żądanie, jeśli uda mu się nakłonić administratora do kliknięcia linku.

W systemie itsourcecode Open Source Job Portal 1.0 występuje podatność SQL injection w pliku /admin/user/index.php?view=edit. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.

Podatność CVE-2025-6396 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Webbeyaz Website Design, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy oprogramowania do projektowania stron internetowych do 14 lipca 2025 roku.

Podatność CVE-2025-11025 dotyczy platformy Vimesoft Corporate Messaging, która pozwala na wyciąganie wbudowanych danych wrażliwych z wysyłanych wiadomości. Problem ten występuje w wersjach od V1.3.0 do przed V2.0.0.

Wtyczka WordPress Gallery Custom Links (wersje do 2.2.5) zawiera podatność na przechowywane XSS (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony.

W LazyAGI LazyLLM do wersji 0.6.1 wykryto podatność na deserializację w funkcji lazyllm_call w pliku lazyllm/components/deploy/relay/server.py. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

vulnerability-lookup 2.16.0 zawiera podatność XSS w komponentach bundle.py, comment.py i user.py, która może być wykorzystana przez użytkownika instancji vulnerability-lookup, który może dodawać pakiety, komentarze lub obserwacje. Podatność wynika z niewystarczającej sanityzacji danych wejściowych przed renderowaniem w szablonach i tabelach, co pozwala na wstrzyknięcie dowolnego JavaScriptu.

Wszystkie wersje Dingtian DT-R002 są podatne na lukę niewystarczającej ochrony poświadczeń, która może pozwolić atakującemu na pobranie nazwy użytkownika bieżącego użytkownika bez uwierzytelnienia.

Backend OpenSSL w glib-networking nieprawidłowo sprawdza wartość zwracaną przez wywołanie BIO_write(), co prowadzi do odczytu poza dozwolonym zakresem pamięci.