Katalog podatności CVE

W Metasoft 美特软件 MetaCRM w wersjach do 6.4.0 Beta06 zidentyfikowano podatność, która dotyczy nieznanej funkcji pliku /common/jsp/upload3.jsp. Manipulacja argumentem File może prowadzić do nieograniczonego przesyłania plików.

Wykryto podatność w adenhq hive do wersji 0.11.0, która dotyczy funkcji _read_events_tail w pliku core/framework/server/routes_sessions.py komponentu Delete Request Handler. Manipulacja tą funkcją prowadzi do przejścia ścieżki.

Wykryto podatność w fishaudio Bert-VITS2, która dotyczy funkcji generate_config w pliku webui_preprocess.py komponentu Gradio Interface. Manipulacja argumentem data_dir prowadzi do przejścia ścieżki, co umożliwia zdalne ataki.

Wykryto lukę w fishaudio Bert-VITS2, która dotyczy funkcji _get_all_models w pliku hiyoriUI.py komponentu Model Handler. Luka ta umożliwia atak typu path traversal, który może być inicjowany zdalnie.

Zechat w wersji 1.5 zawiera podatność na wstrzykiwanie SQL w parametrze v, co pozwala nieautoryzowanym atakującym na wydobycie informacji z bazy danych przy użyciu technik opóźnienia czasowego. Atakujący mogą wykorzystać parametr v do potwierdzenia podatności i ekstrakcji danych.

Zechat w wersji 1.5 zawiera podatność na wstrzyknięcie SQL w parametrze hashtag, która pozwala nieautoryzowanym atakującym na wydobycie informacji z bazy danych przy użyciu technik opartych na unii. Atakujący mogą wykorzystać parametr hashtag z ładunkami opartymi na unii, aby uzyskać nazwy tabel i kolumn.

Serwer WWW turbiny wiatrowej Nordex N149/4.0-4.5 w wersji 4.0 zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu w parametrze logowania w pliku login.php. Atakujący mogą przesyłać spreparowane żądania POST z ładunkami wstrzykującymi SQL w polu logowania, aby wydobyć wrażliwe informacje z bazy danych oraz obejść mechanizmy uwierzytelniania.

Rozszerzenie EkRishta 2.10 dla Joomla! zawiera podatności na trwałe ataki typu cross-site scripting oraz SQL injection, które umożliwiają atakującym wstrzykiwanie złośliwego kodu przez pola profilu i parametry POST.

Wtyczka WordPress WP z wersją Spritz 1.0 zawiera podatność na zdalne włączenie pliku, która pozwala nieautoryzowanym atakującym na odczyt dowolnych plików poprzez wstrzykiwanie ścieżek plików do parametru url. Atakujący mogą wysyłać żądania GET do wp.spritz.content.filter.php z złośliwymi wartościami url, aby uzyskać dostęp do wrażliwych plików, takich jak konfiguracja systemu i dane uwierzytelniające.

VX Search w wersji 10.6.18 zawiera lokalną podatność na przepełnienie bufora, która pozwala atakującym na nadpisanie wskaźnika instrukcji poprzez dostarczenie zbyt dużego ciągu w polu katalogu. Atakujący mogą stworzyć złośliwy plik wejściowy zawierający 271 bajtów danych śmieciowych, po których następuje adres powrotu, co umożliwia wykonanie dowolnego kodu z uprawnieniami aplikacji.

Google Drive dla WordPressa w wersji 2.2 zawiera podatność na przechodzenie ścieżek, która pozwala nieautoryzowanym atakującym na odczyt dowolnych plików poprzez wstrzykiwanie sekwencji przechodzenia ścieżek w parametrze file_name. Atakujący mogą wysyłać żądania POST do gdrive-ajaxs.php z parametrem ajaxstype ustawionym na del_fl_bkp oraz file_name zawierającym sekwencje przechodzenia ścieżek ../../wp-config.php, aby uzyskać dostęp do wrażliwych plików konfiguracyjnych.

Woocommerce CSV Importer w wersji 3.3.6 zawiera podatność na przejście ścieżki, która pozwala zarejestrowanym użytkownikom na usuwanie dowolnych plików poprzez przesyłanie nieescapowanych nazw plików w akcji AJAX delete_export_file. Atakujący mogą skonstruować żądania POST z sekwencjami przejścia katalogu w parametrze nazwy pliku.

Allok AVI DivX MPEG to DVD Converter w wersji 2.6.1217 zawiera podatność na przepełnienie bufora w obsłudze wyjątków strukturalnych, która pozwala lokalnym atakującym na wykonanie dowolnego kodu poprzez dostarczenie złośliwego ładunku. Atakujący mogą stworzyć plik tekstowy z odpowiednio skonstruowanym buforem zawierającym shellcode oraz wartości do nadpisania łańcucha SEH, a następnie wkleić zawartość do pola Nazwa Licencji, aby wywołać wykonanie kodu.

Allok Fast AVI MPEG Splitter w wersji 1.2 zawiera podatność na przepełnienie bufora na stosie, która pozwala lokalnym atakującym na wykonanie dowolnego kodu poprzez dostarczenie złośliwego ciągu nazwy licencji. Atakujący mogą przygotować ładunek o wielkości 780 bajtów, który wywołuje przepełnienie i umożliwia wykonanie kodu z uprawnieniami aplikacji.

Redaxo CMS Addon MyEvents w wersji 2.2.1 zawiera podatność na wstrzykiwanie SQL, która pozwala uwierzytelnionym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL za pomocą parametru myevents_id.

W h2oai h2o-3 do wersji 7402 odkryto lukę bezpieczeństwa w funkcji importBinaryModel w pliku h2o-core/src/main/java/hex/Model.java komponentu JAR Handler. Manipulacja tą funkcją prowadzi do deserializacji, co może być wykorzystane w atakach zdalnych.

W Oinone Pamirs do wersji 7.2.0 zidentyfikowano podatność, która dotyczy funkcji RSQLToSQLNodeConnector.makeVariable w interfejsie queryListByWrapper. Manipulacja ta prowadzi do wstrzykiwania SQL, co może być zainicjowane zdalnie.

Wtyczka AI Engine – Chatbot, AI Framework & MCP dla WordPressa w wersji 3.4.9 jest podatna na eskalację uprawnień. Problem wynika z braku egzekwowania uprawnień WordPressa w ścieżce autoryzacji tokena OAuth, co pozwala na dostęp do narzędzi MCP na poziomie administratora bez weryfikacji uprawnień administratora.

Zidentyfikowano słabość w CoreWorxLab CAAL do wersji 1.6.0, która dotyczy nieznanej funkcji w pliku src/caal/webhooks.py komponentu test-hass Endpoint. Manipulacja ta prowadzi do ataku typu server-side request forgery.

Podatność w Das U-Boot przed wersją 2026.04 umożliwia ominięcie weryfikacji podpisów FIT (Flat Image Tree) poprzez pominięcie węzłów hashed-nodes z obliczania skrótu. Atakujący może dostarczyć zmodyfikowany obraz FIT, który zostanie uznany za prawidłowo podpisany.