Katalog podatności CVE

Biblioteka Python-Multipart przed wersją 0.0.22 zawiera podatność na Path Traversal przy użyciu niestandardowych opcji konfiguracyjnych UPLOAD_DIR i UPLOAD_KEEP_FILENAME=True. Atakujący może zapisać przesłane pliki w dowolnej lokalizacji w systemie plików poprzez spreparowaną nazwę pliku.

QGIS przed commit 76a693cd91650f9b4e83edac525e5e4f90d954e9 ma podatność na zdalne wykonanie kodu w workflow GitHub Actions 'pre-commit checks', ponieważ używa wyzwalacza pull_request_target i wykonuje niezaufany kod z pull requestów w uprzywilejowanym kontekście. Może to prowadzić do przejęcia repozytorium.

AnythingLLM przed wersją 1.10.0 ma krytyczną podatność na przechodzenie po ścieżkach (Path Traversal) w integracji DrupalWiki, co pozwala złośliwemu administratorowi (lub atakującemu, który przekona administratora do skonfigurowania złośliwego adresu URL DrupalWiki) na zapisywanie dowolnych plików na serwerze. Może to prowadzić do zdalnego wykonania kodu (RCE).

AnythingLLM przed wersją 1.10.0, gdy jest skonfigurowany z Qdrant jako bazą wektorową z kluczem API, może ujawnić ten klucz w postaci zwykłego tekstu nieuwierzytelnionym użytkownikom przez endpoint `/api/setup-complete`. Ujawnienie klucza pozwala atakującemu na pełny dostęp do bazy wektorowej Qdrant.

W systemie zarządzania autobusami Hisense TransTech Smart Bus Management System do wersji 20260113 znaleziono lukę. Manipulacja argumentem 'key' w funkcji Page_Load pliku TireMng.aspx może prowadzić do ataku typu SQL injection, który można przeprowadzić zdalnie.

D-Link DIR-615 do wersji 4.10 ma podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku /wiz_policy_3_machine.php w interfejsie zarządzania siecią. Manipulacja argumentem ipaddr umożliwia zdalne wykonanie poleceń. Exploit jest publiczny, a produkt nie jest już wspierany.

Skipper to router HTTP i reverse proxy dla kompozycji usług. W wersjach przed 0.24.0, użytkownicy z uprawnieniami do tworzenia Ingress i usługi typu ExternalName mogli tworzyć trasy, które umożliwiały im dostęp do wewnętrznych usług za pośrednictwem Skippera.

BentoML to biblioteka Pythona do budowania systemów serwujących zoptymalizowanych dla aplikacji AI i wnioskowania modeli. W wersjach przed 1.4.34, konfiguracja `bentofile.yaml` w BentoML umożliwia ataki typu path traversal poprzez różne pola ścieżek plików, co pozwala na wykradanie dowolnych plików z systemu plików.

Podatność CVE-2025-30248 dotyczy instalatora WD Discovery firmy Western Digital w wersji 5.2.730 na systemie Windows. Polega na przejęciu biblioteki DLL (DLL hijacking), co pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez umieszczenie spreparowanej biblioteki DLL w ścieżce wyszukiwania instalatora.

Podatność typu SQL Injection występuje w strukturze dla uwierzytelnionego użytkownika administracyjnego. Może to pozwolić atakującemu na wykonanie nieautoryzowanych zapytań do bazy danych.

W pakietach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) wykryto wiele podatności typu odmowa usługi (DoS). Specjalnie spreparowane żądania HTTP do punktów końcowych Server Function mogą powodować awarie serwera, wyjątki braku pamięci lub nadmierne zużycie CPU.

W projekcie Online Music Site 1.0 odkryto lukę, która dotyczy nieznanej funkcjonalności pliku /Administrator/PHP/AdminDeleteUser.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

W gix-date znaleziono błąd, który pozwala funkcji `gix_date::parse::TimeBuf::as_str` generować ciągi zawierające nieprawidłowe znaki nie-UTF8. Problem ten narusza wewnętrzne zasady bezpieczeństwa komponentu `TimeBuf`, co prowadzi do nieokreślonego zachowania podczas przetwarzania tych wadliwych ciągów.

W KubeVirt Containerized Data Importer (CDI) wykryto podatność umożliwiającą klonowanie PersistentVolumeClaims (PVC) z nieautoryzowanych przestrzeni nazw. Luka ta prowadzi do nieautoryzowanego dostępu do danych poprzez mechanizm źródła PVC DataImportCron.

W interfejsie administracyjnym oprogramowania TP-Link Archer MR600 v5 odkryto podatność na wstrzykiwanie poleceń, która pozwala uwierzytelnionym atakującym na wykonywanie poleceń systemowych za pomocą odpowiednio przygotowanego wejścia w konsoli dewelopera przeglądarki. Może to prowadzić do zakłócenia działania usługi lub pełnego przejęcia systemu.

Podatność w oprogramowaniu sprzętowym routera Shenzhen Tenda W30E V2 (do wersji V16.01.0.19(5037)) pozwala na zmianę hasła konta przez interfejs konserwacyjny bez weryfikacji obecnego hasła. Umożliwia to nieautoryzowaną zmianę hasła, jeśli osoba atakująca uzyska dostęp do tego interfejsu.

Podatność w oprogramowaniu sprzętowym routera Shenzhen Tenda W30E V2 (do wersji V16.01.0.19(5037)) powoduje ujawnianie poufnych danych uwierzytelniających w postaci zwykłego tekstu w odpowiedziach HTTP generowanych przez interfejs konserwacyjny. Ponieważ interfejs zarządzania jest domyślnie dostępny przez niezaszyfrowany protokół HTTP, poświadczenia mogą zostać przechwycone przez osoby atakujące w sieci.

Podatność w oprogramowaniu sprzętowym routera Shenzhen Tenda W30E V2 (do wersji V16.01.0.19(5037)) pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na zmianę hasła administratora. Atak polega na wysłaniu spreparowanego żądania bezpośrednio do API zarządzania użytkownikami, z pominięciem kontroli dostępu narzuconych przez interfejs webowy.

Instalator Crucial Storage Executive w wersjach wcześniejszych niż 11.08.082025.00 zawiera podatność na wczytywanie DLL (DLL preloading). Podczas instalacji z podwyższonymi uprawnieniami, instalator ładuje biblioteki DLL systemu Windows z niekontrolowanej ścieżki wyszukiwania, co może spowodować załadowanie złośliwej biblioteki umieszczonej obok instalatora zamiast zamierzonej biblioteki systemowej.