Katalog podatności CVE

W USCiLab Cereal do wersji 1.3.2 stwierdzono podatność w komponencie Shared Pointer Handler. Wykonanie manipulacji może prowadzić do type confusion. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

BeikeShop do wersji 1.6.0.22 ma podatność nieprawidłowej autoryzacji w komponencie Stripe Plugin w pliku StripeController.php poprzez manipulację argumentem Request. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Łatka jest dostępna pod commitem 6719e0fc.

W bibliotece Boost Serialization wykryto podatność polegającą na niewłaściwej walidacji określonego typu danych wejściowych. Atak można zainicjować zdalnie, a publiczny exploit jest już dostępny i może być wykorzystany. Opiekun projektu został powiadomiony w sierpniu 2025 r., potwierdził zgłoszenie, ale odroczył poprawkę bezterminowo, więc patch obecnie nie istnieje, a termin ujawnienia minął.

Xcitium Client Security (XCS) przed 13.8.2.10019 oraz Comodo Internet Security (CIS) do 12.3.4.8162 zawierają podatność w sterowniku zapory sieciowej Inspect.sys. Wysyłając spreparowany pakiet IPv6 z deklarowaną długością ładunku mniejszą niż suma długości nagłówków rozszerzeń, nieuwierzytelniony atakujący może spowodować niedomiar liczby całkowitej, co prowadzi do odczytu poza zakresem i awarii systemu (BSOD).

Podatność wstrzykiwania w JeeWMS (wersja do 141740afb2ba14d441c82a833d0a418d07ca2d69) w pliku /base-boot/jmreport/testConnection, w argumencie dbType/dbDriver/dbUrl/dbUsername/dbPassword. Atak zdalny, exploit publiczny.

W systemie Chanjet CRM 1.0 stwierdzono podatność na iniekcję SQL w pliku /tools/jxf_dump_systable.php poprzez manipulację argumentem gblOrgID w komponencie HTTP GET Request Handler. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

W GL.iNet GL-MT3000 do wersji 4.4.5 stwierdzono podatność na wstrzykiwanie poleceń w funkcji FUN_0042e200 pliku /cgi-bin/glc. Producent twierdzi, że w wersji 4.8.1 problem został rozwiązany, ale szczegóły są kwestionowane.

W urządzeniu GL.iNet GL-MT3000 w wersji firmware 4.4.5 wykryto podatność na wstrzykiwanie poleceń w funkcji snprintf pliku /cgi-bin/glc w komponencie obsługi protokołu FTP. Manipulacja argumentem media_dir może prowadzić do wstrzyknięcia polecenia. Atak może być przeprowadzony zdalnie. Producent informuje, że w wersji 4.8.1 zastosowano zabezpieczenie polegające na ucieczce apostrofów, co uniemożliwia wykorzystanie zgłoszonych wektorów ataku.

W bibliotece /usr/lib/oui-httpd/rpc/ w GL.iNet GL-MT3000 w wersji 4.4.5 występuje podatność na wstrzykiwanie poleceń poprzez manipulację argumentem dev_name w funkcji dlopen. Atak może być przeprowadzony zdalnie. Producent potwierdził, że od wersji 4.7 wprowadzono walidację na poziomie metod HTTP, co blokuje tę lukę.

clash-verge-service-ipc przed wersją 2.3.0 udostępnia endpoint IPC dostępny dla wszystkich procesów lokalnych, co umożliwia eskalację uprawnień lokalnych.

Podatność na fałszowanie żądań po stronie serwera (SSRF) w perfree go-fastdfs-web do wersji 1.3.7. Funkcja checkServer w pliku /install/checkServer umożliwia zdalne wykonanie manipulacji prowadzącej do SSRF. Exploit został opublikowany i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.

W systemie Jinher OA 1.0 stwierdzono podatność na iniekcję SQL w pliku nextselectplan.aspx poprzez manipulację argumentem httpOID. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.

Podatność w JingDong JD Cloud Box AX6600 (wersja 4.5.3.r4546) w funkcji set_macfilter. Manipulacja prowadzi do przepełnienia bufora na stosie, umożliwiając zdalny atak.

Podatność w bibliotece Protocol::HTTP2 dla Perla przed wersją 1.13 umożliwia atak typu HTTP/2 Bomb. Brak ograniczenia rozmiaru listy nagłówków w ścieżce dekodowania HPACK powoduje, że małe żądanie HTTP/2 może rozrosnąć się w pamięci serwera. Metoda headers_decode nie sprawdza bieżącego rozmiaru, a stream_header_block_add dołącza ramki CONTINUATION bez ograniczeń.

Podatność we wtyczce Booking Package dla WordPressa do wersji 1.7.16 włącznie umożliwia eskalację uprawnień poprzez przejęcie konta. Brakuje sprawdzenia uprawnień w punkcie końcowym AJAX package_app_action, co pozwala uwierzytelnionym atakującym z dostępem na poziomie edytora lub wyższym na zmianę adresu e-mail i hasła dowolnego konta, w tym administratora.

Wtyczka MDJM Event Management dla WordPress do wersji 1.7.8.3 włącznie zawiera podatność na dowolne przesyłanie plików przez funkcję mdjm_send_comm_email. Brak walidacji typu pliku, rozszerzenia lub typu MIME umożliwia uwierzytelnionym atakującym z dostępem administratora (lub wyższym) przesyłanie plików wykonywalnych, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Integration for Freshsales dla WordPressa do wersji 1.0.15 jest podatna na przechowywany atak XSS przez dane przesłane w formularzu. Brak odpowiedniej sanitacji wejścia i eskapowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonują się, gdy administrator przegląda szczegóły błędów API CRM.

Wtyczka All-In-One Security (AIOS) dla WordPressa do wersji 5.4.7 zawiera podatność na przechowywane XSS. Niezautoryzowany atakujący może osadzić dowolny kod HTML lub JavaScript w ścieżce żądania REST, który jest zapisywany w logach debugowania. Gdy administrator przegląda stronę logów debugowania, kod wykonuje się w jego przeglądarce.

Wtyczka WP User Manager – User Profile Builder & Membership dla WordPressa w wersjach do 2.9.17 włącznie zawiera podatność na lokalne dołączanie plików (Local File Inclusion) w funkcji szablonu profilu. Nieuwierzytelnieni atakujący mogą dołączać i wykonywać dowolne pliki .php na serwerze, co umożliwia ominięcie kontroli dostępu, uzyskanie wrażliwych danych lub wykonanie kodu.

W kamerze Tapo C520WS v2 występuje błąd logiczny w mechanizmie autoryzacji API. Ograniczone konta mogą ominąć listę dozwolonych operacji i wykonać nieautoryzowane czynności, takie jak reset urządzenia czy zmiana konfiguracji.