Katalog podatności CVE

Platforma Open eClass przed wersją 4.2 zawiera podatność na dowolne wgrywanie plików w funkcji importu motywów. Atakujący z uprawnieniami administracyjnymi może wgrać dowolne pliki na serwer, ponieważ pliki w archiwum ZIP nie są walidowane ani sanityzowane. Prowadzi to do zdalnego wykonania kodu na serwerze WWW. Wersja 4.2 naprawia problem.

RustFS przed wersją 1.0.0-alpha.79 ma podatność w API administracyjnym ImportIam, które błędnie waliduje uprawnienia przy użyciu ExportIAMAction zamiast ImportIAMAction. Pozwala to podmiotowi z uprawnieniami tylko do eksportu na wykonywanie operacji importu. Ponieważ import danych IAM wykonuje uprzywilejowane operacje zapisu (tworzenie/aktualizacja użytkowników, grup, polityk i kont usług), może to prowadzić do nieautoryzowanej modyfikacji IAM i eskalacji uprawnień. Wersja 1.0.0-alpha.79 naprawia problem.

Podatność w smb4k przed wersją 4.0.5 dotyczy zewnętrznej kontroli nazwy pliku lub ścieżki. Umożliwia lokalnym użytkownikom przeprowadzenie lokalnego exploita roota przez smb4k mounthelper, jeśli mają dostęp i kontrolę nad zawartością udziału Samba.

W Ansible Automation Platform (AAP) wykryto lukę, która pozwala na wykonywanie operacji zapisu za pomocą tokenów OAuth2 o ograniczonym dostępie do odczytu. Mimo że tokeny te są egzekwowane na poziomie bramy dla operacji specyficznych dla bramy, luka ta umożliwia ich wykorzystanie do modyfikacji usług backendowych.

W bibliotece libsoup HTTP, używanej przez GNOME i inne aplikacje do komunikacji sieciowej, wykryto błąd w obsłudze uwierzytelniania NTLM. Przy przetwarzaniu bardzo długich haseł, nieprawidłowe użycie liczb całkowitych ze znakiem powoduje przepełnienie obliczeń rozmiaru, co prowadzi do błędnej alokacji pamięci na stosie i niebezpiecznego kopiowania danych. W rezultacie aplikacje korzystające z libsoup mogą niespodziewanie ulec awarii, stwarzając ryzyko odmowy usługi.

Podatność polegająca na odczycie poza zakresem wiadomości w Trend Micro Apex Central może pozwolić zdalnemu atakującemu na wywołanie stanu odmowy usługi (DoS) w zainstalowanych systemach. Uwaga: do wykorzystania tej podatności nie jest wymagane uwierzytelnienie.

Podatność polegająca na niesprawdzonym zwracaniu wartości NULL w Trend Micro Apex Central może pozwolić zdalnemu atakującemu na wywołanie stanu odmowy usługi (DoS) w zainstalowanych systemach. Uwaga: do wykorzystania tej podatności nie jest wymagane uwierzytelnienie.

NeuVector obsługuje uwierzytelnianie logowania za pomocą OpenID Connect, jednak w domyślnej konfiguracji nie wymusza weryfikacji TLS, co może prowadzić do ataków typu man-in-the-middle (MITM).

NiceGUI w wersjach od 2.22.0 do 3.4.1 ma niebezpieczną implementację w nasłuchiwaczu zdarzeń pushstate używanym przez ui.sub_pages, co pozwala atakującemu manipulować identyfikatorem fragmentu URL, nawet w kontekście cross-site, używając iframe. Problem został naprawiony w wersji 3.5.0.

Podatność CVE-2025-68892 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce Scroll rss excerpt w wersjach od n/a do 5.0.

W podatności CVE-2025-68891 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki WP App Bar w wersjach od n/a do 1.5 włącznie.

Podatność CVE-2025-68890 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie hands01 e-shops e-shops-cart2. Problem ten dotyczy wersji od n/a do 1.0.4 włącznie.

W podatności CVE-2025-68889 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Pinpoll. Problem dotyczy wersji Pinpoll od n/a do 4.0.0 włącznie.

Wtyczka WP-BusinessDirectory w CMSJunkie dla WordPressa zawiera podatność na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 4.0.1.

Podatność typu Cross-site Scripting (XSS) w widgecie Shahjada Visitor Stats pozwala na odzwierciedlone ataki XSS. Problem dotyczy wersji widgeciku od n/a do 1.5.0 włącznie.

W podatności CVE-2025-68873 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji PRIMER od chloédigital w wersjach od n/a do 1.0.25.

W podatności CVE-2025-67937 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Mikado-Themes Hendon. Problem dotyczy wersji Hendon od n/a do poniżej 1.7.

W podatności CVE-2025-67936 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Mikado-Themes Curly curly. Problem ten dotyczy wersji Curly od n/a do poniżej 3.3.

W podatności CVE-2025-67935 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików PHP w Mikado-Themes Optimize. Problem ten dotyczy wersji Optimize od n/a do poniżej 2.4.

W podatności CVE-2025-67934 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Mikado-Themes Wellspring. Problem ten dotyczy wersji Wellspring od n/a do poniżej 2.8.