Katalog podatności CVE

W systemie Infoblox NIOS w wersjach do 9.0.7, użytkownik z wysokimi uprawnieniami może wywołać zapis dowolnego pliku za pomocą mechanizmu tworzenia konta. To stwarza możliwość nieautoryzowanego dostępu do systemu.

Moduł API FreePBX przed wersjami 17.0.5 i 16.0.17 jest podatny na eskalację uprawnień przez uwierzytelnionych użytkowników z dostępem do API REST/GraphQL. Atakujący może sfałszować ważny token JWT, uzyskując pełny dostęp do API, nawet jako użytkownik o niższych uprawnieniach.

Odtwarzacze BrightSign działające na systemie operacyjnym BrightSign OS serii 4 przed wersją 8.5.53.1 oraz serii 5 przed wersją 9.0.166 używają domyślnego hasła, które można odgadnąć znając informacje o urządzeniu. Najnowsza wersja rozwiązuje ten problem dla nowych instalacji.

Crawl4AI w wersjach przed 0.8.0 zawiera podatność na lokalne dołączanie plików w API Docker. Punkty końcowe /execute_js, /screenshot, /pdf i /html akceptują adresy URL z protokołem file://, co pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików z systemu plików serwera.

Galaxy FDS Android SDK w wersji 3.0.8 i wcześniejszych wyłącza weryfikację nazwy hosta TLS, gdy HTTPS jest włączone (domyślna konfiguracja). SDK konfiguruje Apache HttpClient z SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER, który akceptuje każdy ważny certyfikat TLS, niezależnie od niezgodności nazwy hosta. Ponieważ HTTPS jest domyślnie włączone w FDSClientConfiguration, wszystkie aplikacje korzystające z SDK z domyślnymi ustawieniami są podatne.

Problem w wersji halo v.2.22.4 i wcześniejszych umożliwia zdalnemu atakującemu spowodowanie odmowy usługi poprzez wysłanie spreparowanego ładunku do publicznego punktu przesyłania komentarzy.

Wtyczka FastDup – Najszybsza migracja i duplikator WordPressa jest podatna na nieautoryzowane tworzenie i pobieranie kopii zapasowych z powodu braku sprawdzenia uprawnień na punktach końcowych REST API we wszystkich wersjach do 2.7.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej tworzenie i pobieranie pełnych archiwów kopii zapasowych całej instalacji WordPressa, w tym eksportów bazy danych i plików konfiguracyjnych.

W oprogramowaniu układowym zarządzania energią AMD (PMFW) występuje niezamierzony proxy lub pośrednik, który może umożliwić atakującemu z uprawnieniami wysyłanie źle sformatowanych wiadomości do jednostki zarządzania systemem (SMU), co może prowadzić do wykonania dowolnego kodu.

W PostgreSQL w module pg_trgm wykryto przepełnienie bufora sterty, które może być wykorzystane przez użytkownika bazy danych poprzez spreparowany ciąg wejściowy. Atakujący ma ograniczoną kontrolę nad wzorcami bajtów, ale nie wykluczono możliwości eskalacji uprawnień. Podatność dotyczy wersji 18.0 i 18.1.

Brak walidacji długości znaków wielobajtowych w funkcjach manipulacji tekstem PostgreSQL umożliwia użytkownikowi bazy danych wykonanie spreparowanych zapytań prowadzących do przepełnienia bufora. Pozwala to na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych.

W bibliotece pgcrypto PostgreSQL wykryto przepełnienie bufora sterty, które umożliwia dostawcy szyfrogramu wykonanie dowolnego kodu jako użytkownik systemu uruchamiający bazę danych. Podatność dotyczy wersji przed PostgreSQL 18.2, 17.8, 16.12, 15.16 i 14.21.

Brak walidacji typu danych w funkcji estymatora selektywności rozszerzenia intarray PostgreSQL umożliwia twórcy obiektu wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Podatność dotyczy wersji przed 18.2, 17.8, 16.12, 15.16 i 14.21.

Wtyczka Secure Copy Content Protection i Content Locking dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting poprzez nagłówek HTTP 'X-Forwarded-For' we wszystkich wersjach do 4.9.8 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Podatność CVE-2025-13002 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w pakiecie e-commerce Farktor Software. Umożliwia to ataki typu Cross-Site Scripting (XSS).

Wtyczka Customer Reviews dla WooCommerce w WordPressie jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'media[].href' we wszystkich wersjach do 5.97.0 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym (jeśli 'Włącz dla gości' jest aktywne) wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Podatność CVE-2025-15577 pozwala nieautoryzowanemu atakującemu na manipulację URL w celu uzyskania dostępu do dowolnych plików. Problem ten dotyczy narzędzi internetowych Valmet DNA w wersji C2022 i starszych.

Instalator M-Track Duo HD w wersji 1.0.0 zawiera problem z ścieżką wyszukiwania DLL, co może prowadzić do niebezpiecznego ładowania dynamicznych bibliotek linkowanych. W efekcie może zostać wykonany dowolny kod z uprawnieniami administratora.

JUNG Smart Visu Server w wersji 1.1.1050 zawiera podatność na odmowę usługi, która pozwala nieautoryzowanym atakującym na zdalne wyłączenie lub ponowne uruchomienie serwera. Atakujący mogą wysłać pojedyncze żądanie POST, aby wywołać ponowne uruchomienie serwera bez potrzeby uwierzytelnienia.

JUNG Smart Visu Server w wersji 1.1.1050 zawiera podatność na manipulację nagłówkiem żądania, która pozwala nieautoryzowanym atakującym na nadpisywanie adresów URL żądań poprzez wstrzykiwanie dowolnych wartości w nagłówku X-Forwarded-Host. Atakujący mogą manipulować żądaniami proxy, co prowadzi do generowania zanieczyszczonych odpowiedzi.

Framework Dell Update Package (DUP) w wersjach od 23.12.00 do 24.12.00 zawiera podatność na niewłaściwe zarządzanie niewystarczającymi uprawnieniami. Atakujący z niskimi uprawnieniami, mający lokalny dostęp, może wykorzystać tę podatność do podniesienia swoich uprawnień.