Katalog podatności CVE

Elaniin CMS w wersji 1.0 zawiera podatność na obejście uwierzytelniania, która pozwala atakującym na dostęp do panelu sterowania poprzez manipulację stroną logowania za pomocą SQL injection. Atakujący mogą obejść uwierzytelnianie, wysyłając spreparowane parametry e-mail i hasło z ładunkiem '=''or' do login.php, co umożliwia nieautoryzowany dostęp do systemu.

Mocha Telnet Lite dla iOS w wersji 4.2 zawiera podatność na odmowę usługi, która pozwala atakującym na zablokowanie aplikacji poprzez manipulację danymi konfiguracyjnymi użytkownika. Atakujący mogą nadpisać pole 'User' 350 bajtami powtarzających się znaków, co prowadzi do awarii aplikacji.

W konfiguracji nginx w Open Security Issue Management (OSIM) przed wersją 2025.9.0 występuje problem z konkatenacją $uri$args, co umożliwia ataki typu path traversal za pomocą parametrów zapytania.

Podatność związana z niewłaściwą kontrolą dostępu w oprogramowaniu QR Menu firmy Akın Software pozwala na nadużycie uwierzytelnienia. Problem dotyczy wersji przed s1.05.12.

Wtyczka Custom Login Page Customizer dla WordPressa w wersjach przed 2.5.4 nie posiada odpowiedniego procesu resetowania hasła, co pozwala na kilka nieautoryzowanych żądań do zresetowania hasła dowolnego użytkownika, znając jego nazwę użytkownika, w tym administratorów, co umożliwia dostęp do ich konta.

Zidentyfikowano słabość w systemie zarządzania szkołą itsourcecode w wersji 1.0. Problem dotyczy nieznanej funkcji w pliku /course/index.php, gdzie manipulacja argumentem ID może prowadzić do wstrzyknięcia SQL.

iccDEV to zestaw bibliotek i narzędzi do interakcji oraz manipulacji profilami zarządzania kolorami ICC. W wersjach przed 2.3.1.2 występuje problem z nieokreślonym zachowaniem podczas konwersji wartości NaN typu float na typy całkowite unsigned short, co może prowadzić do uszkodzenia struktur pamięci i umożliwić wykonanie dowolnego kodu.

Podman Desktop to graficzne narzędzie do pracy z kontenerami i Kubernetes. W wersjach przed 1.25.1 występuje krytyczna podatność na obejście uwierzytelniania, która pozwala dowolnym rozszerzeniom na całkowite zignorowanie kontroli uprawnień i uzyskanie nieautoryzowanego dostępu do wszystkich sesji uwierzytelniających.

W Discourse przed wersjami 3.5.4, 2025.11.2, 2025.12.1 i 2026.1.0, przekierowania z linków permalink do zasobów z ograniczonym dostępem (prywatne tematy, kategorie, posty lub ukryte tagi) ujawniały slug zasobu w adresie URL, nawet gdy użytkownik nie miał do niego dostępu. To powodowało wyciek potencjalnie wrażliwych informacji, takich jak tytuły prywatnych tematów, poprzez nagłówek Location oraz pole wyszukiwania na stronie 404.

Wykryto podatność bezpieczeństwa w projekcie Online Music Site w wersji 1.0, która dotyczy nieznanej funkcji pliku /Administrator/PHP/AdminReply.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

Zidentyfikowano słabość w projekcie Online Music Site w wersji 1.0, która dotyczy nieznanej funkcji w pliku /Administrator/PHP/AdminEditUser.php. Manipulacja argumentem ID prowadzi do podatności na atak typu SQL injection.

W komponentach oneflow.index_add w OneFlow w wersji 0.9.0 występuje podatność na niewłaściwą walidację danych wejściowych, która pozwala atakującym na wywołanie ataku typu Denial of Service (DoS) poprzez spreparowane dane wejściowe.

W składniku flow.arange() w OneFlow w wersji 0.9.0 występuje podatność na niewłaściwą walidację danych wejściowych, która pozwala atakującym na wywołanie ataku typu Denial of Service (DoS) poprzez spreparowane dane wejściowe.

Discourse, platforma dyskusyjna o otwartym kodzie źródłowym, zawiera podatność w wersjach przed 3.5.4, 2025.11.2, 2025.12.1 i 2026.1.0. Problem dotyczy walidacji nazwy hosta w komponencie FinalDestination, co może umożliwić obejście zabezpieczeń SSRF w określonych warunkach.

Pobieranie i budowanie modułów z złośliwymi ciągami wersji może prowadzić do lokalnego wykonania kodu. Na systemach z zainstalowanym Mercurial (hg) oraz Git, złośliwe ciągi wersji mogą umożliwić atakującemu zapis do dowolnych plików w systemie plików.

Podatność w narzędziu cmd/go umożliwia zapis do pliku kontrolowanego przez atakującego z częściową kontrolą zawartości pliku. Dyrektywa "#cgo pkg-config:" w pliku źródłowym Go przekazuje argumenty wiersza poleceń do polecenia pkg-config. Atakujący może podać argument "--log-file" w tej dyrektywie, powodując zapis przez pkg-config do lokalizacji kontrolowanej przez atakującego.

Pakiet net/url nie ogranicza liczby parametrów zapytania w URL. Metoda net/http.Request.ParseForm może przetwarzać duże formularze URL-encoded, co przy wielu unikalnych parametrach prowadzi do nadmiernego zużycia pamięci.

Sterownik panelu Dell PremierColor w wersjach przed 1.0.0.1 A01 zawiera podatność na niewłaściwą kontrolę dostępu. Atakujący z niskimi uprawnieniami, mający lokalny dostęp, może wykorzystać tę podatność do podniesienia swoich uprawnień.

W podatności CVE-2025-14840 w menedżerze klienta HTTP Drupal występuje niewłaściwe sprawdzanie nietypowych lub wyjątkowych warunków, co umożliwia wymuszone przeglądanie. Problem dotyczy wersji menedżera klienta HTTP: od 0.0.0 przed 9.3.13, od 10.0.0 przed 10.0.2 oraz od 11.0.0 przed 11.0.1.

W Drupal Acquia Content Hub występuje podatność typu Cross-Site Request Forgery (CSRF), która pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wersji Acquia Content Hub od 0.0.0 do przed 3.6.4 oraz od 3.7.0 do przed 3.7.3.