Katalog podatności CVE

AnyDesk w wersji 5.4.0 zawiera podatność na niezacytowaną ścieżkę usługi w konfiguracji usługi Windows, co pozwala lokalnym atakującym na potencjalne wstrzykiwanie złośliwych plików wykonywalnych. Atakujący mogą wykorzystać tę podatność do umieszczania złośliwych plików w lokalizacjach wykonywalnych usługi, co może prowadzić do uzyskania podwyższonych uprawnień systemowych.

Podatność CVE-2025-7760 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w pakiecie Flora od Ofisimo. Umożliwia to atak XSS (Cross-site Scripting) poprzez nagłówki HTTP.

Podatność CVE-2025-6397 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Reflected XSS w oprogramowaniu Ankara Hosting Website Design. Problem ten dotyczy oprogramowania do 03022026.

W Moodle znaleziono lukę, która pozwala zdalnemu atakującemu na wykorzystanie braku odpowiedniego ograniczenia liczby prób w usłudze potwierdzania e-mail. Ta podatność umożliwia atakującym łatwiejsze enumerowanie lub zgadywanie danych logowania użytkowników, co ułatwia ataki typu brute-force na konta użytkowników.

W systemie Moodle znaleziono lukę, znaną jako Cross-Site Scripting (XSS), która występuje z powodu niewystarczających kontroli danych dostarczanych przez użytkowników w polach wyrażeń arytmetycznych edytora formuł. Zdalny atakujący może wstrzyknąć złośliwy kod do tych pól, który zostanie wykonany w przeglądarkach innych użytkowników.

W Moodle odkryto lukę, która pozwala na atak typu cross-site scripting (XSS) z powodu niewłaściwego oczyszczania odpowiedzi na zapytania AI. Atakujący mogą wstrzykiwać złośliwy kod HTML lub skrypty do stron internetowych.

W Moodle odkryto lukę, która pozwala zawieszonym użytkownikom na autoryzację przez dostawcę LTI. Problem wynika z tego, że mechanizmy autoryzacji LTI nie egzekwują statusu zawieszenia użytkownika, co umożliwia nieautoryzowany dostęp do systemu.

Podatność HTML injection w NICE Chat umożliwia atakującemu wstrzyknięcie i wyrenderowanie dowolnej treści HTML w transkrypcjach e-mail poprzez modyfikację parametrów 'firstName' i 'lastName' podczas sesji czatu. Wstrzyknięty HTML jest dołączany do treści wiadomości e-mail wysyłanej przez system.

W podatności CVE-2025-8461 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu Seres Software syWEB, co pozwala na ataki typu Reflected XSS.

W podatności CVE-2025-8456 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu Kod8, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy strony Kod8 dla osób indywidualnych i małych oraz średnich przedsiębiorstw do dnia 03022026.

Wtyczka OS DataHub Maps dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej walidacji typu pliku w funkcji 'OS_DataHub_Maps_Admin::add_file_and_ext' we wszystkich wersjach do i włącznie z 1.8.3. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Tutor LMS – rozwiązanie e-learningowe dla WordPressa jest podatna na nieautoryzowane odniesienia do obiektów (IDOR) we wszystkich wersjach do 3.9.5 włącznie. Brak odpowiednich kontroli autoryzacji na poziomie obiektów w funkcjach `course_list_bulk_action()`, `bulk_delete_course()` oraz `update_course_status()` umożliwia atakującym z poziomem dostępu Tutor Instructor i wyżej modyfikację lub usunięcie dowolnych kursów, których nie posiadają, poprzez manipulację identyfikatorami kursów w żądaniach akcji zbiorczych.

Podatność CVE-2025-8590 w oprogramowaniu SKSPro firmy AKCE Software Technology R&D Industry and Trade Inc. umożliwia indeksowanie katalogów, co prowadzi do ujawnienia wrażliwych informacji osobom nieuprawnionym. Problem ten dotyczy wersji SKSPro do dnia 1 lipca 2026 roku.

Podatność CVE-2025-8589 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu SKSPro firmy AKCE Software Technology R&D Industry and Trade Inc. Umożliwia to ataki typu Reflected XSS.

W produktach bezprzewodowych LAN firmy ELECOM występuje podatność na wstrzykiwanie poleceń systemowych. Złośliwe żądanie od zalogowanego użytkownika może prowadzić do wykonania dowolnego polecenia systemowego.

Wtyczka Form Maker od 10Web dla WordPressa jest podatna na przechowywane ataki typu Cross-Site Scripting we wszystkich wersjach do i włącznie z 1.15.35. Problem wynika z domyślnej listy dozwolonych plików, która obejmuje pliki SVG oraz słabej walidacji rozszerzeń opartych na podciągach.

Wtyczka Form Maker dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez wartości ukrytych pól we wszystkich wersjach do i włącznie z 1.15.35. Problem wynika z niewystarczającego zabezpieczenia wyjścia podczas wyświetlania wartości ukrytych pól w liście zgłoszeń administracyjnych.

Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPress jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pola profilu klienta we wszystkich wersjach do 5.2.5 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych, które będą wykonywane, gdy administrator przegląda historię aktywności klienta.

Instalator Roland Cloud Manager w wersji 3.1.19 i wcześniejszych niebezpiecznie ładuje biblioteki Dynamic Link Library (DLL), co może umożliwić atakującemu wykonanie dowolnego kodu z uprawnieniami aplikacji.

Podatność w Brocade Fabric OS przed wersją 9.2.1c3 umożliwia lokalnie uwierzytelnionemu użytkownikowi podniesienie swoich uprawnień do poziomu 'root' za pomocą opcji eksportu poleceń seccertmgmt i seccryptocfg.