Katalog podatności CVE

W jądrze Linux w podsystemie vhost wykryto podatność polegającą na braku referencji do struktury zadania (task_struct). Zadanie może zakończyć się wcześniej, a próba obudzenia go przez vhost_task_wake() może prowadzić do dostępu do zwolnionej pamięci.

W jądrze Linux w module IPVS (IP Virtual Server) wykryto podatność use-after-free (UAF) w funkcji __ip_vs_ftp_exit() podczas czyszczenia sieciowego przestrzeni nazw (netns). Problem polega na tym, że __ip_vs_ftp_exit() może wyrejestrować ip_vs_ftp przed opróżnieniem połączeń z prawidłowymi wskaźnikami cp->app, co prowadzi do UAF. Poprawka wprowadza flagę exiting_module, która opóźnia wyrejestrowanie ip_vs_ftp podczas czyszczenia netns do momentu opróżnienia wszystkich połączeń.

Wtyczka Popup builder z funkcjami gamifikacji, wieloetapowych popupów, targetowania na poziomie strony oraz wyzwalaczy WooCommerce dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do i włącznie z 2.1.4. Problem wynika z niewystarczającej walidacji adresów URL dostarczanych przez parametr URL.

OpenVPN w wersjach od 2.7_alpha1 do 2.7_beta1 na platformach opartych na POSIX umożliwia zdalnie uwierzytelnionemu serwerowi wstrzykiwanie poleceń powłoki za pomocą zmiennych DNS, gdy używana jest opcja --dns-updown.

Wtyczka IndieAuth dla WordPressa jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do 4.5.4 włącznie. Problem wynika z braku weryfikacji nonce w funkcji `login_form_indieauth()` oraz na punkcie autoryzacji w wp-login.php?action=indieauth.

Wtyczka AIO Forms – Craft Complex Forms Easily dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcjonalności importu we wszystkich wersjach do i włącznie z 1.3.18. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Quickcreator – AI Blog Writer dla WordPressa jest podatna na ujawnienie wrażliwych informacji w wersjach od 0.0.9 do 0.1.17 poprzez plik /wp-content/plugins/quickcreator/dupasrala.txt. Umożliwia to nieautoryzowanym atakującym przeglądanie klucza API wtyczki, co pozwala na wykonywanie działań na stronie, takich jak tworzenie nowych postów i wstrzykiwanie ładunków XSS.

W podatności CVE-2025-62868 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików PHP. Problem ten dotyczy wtyczki Edge CPT w wersjach od n/a do 1.4.

W oprogramowaniu Productivity Suite w wersji 4.4.1.19 odkryto podatność na przejście przez względną ścieżkę. Umożliwia ona nieautoryzowanemu zdalnemu atakującemu interakcję z symulatorem PLC ProductivityService oraz usuwanie dowolnych plików na docelowej maszynie.

W oprogramowaniu Productivity Suite w wersji 4.4.1.19 odkryto podatność związaną z nieprawidłowym przypisaniem uprawnień do krytycznego zasobu. Atakujący z niskimi uprawnieniami może zmienić swoją rolę, uzyskując pełny dostęp do projektu.

W oprogramowaniu Productivity Suite w wersji 4.4.1.19 odkryto podatność na przejście przez względną ścieżkę (ZipSlip). Ta podatność umożliwia atakującemu, który może manipulować projektem produktywności, wykonanie dowolnego kodu na maszynie, na której projekt jest otwierany.

W oprogramowaniu Productivity Suite w wersji v4.4.1.19 odkryto słaby mechanizm odzyskiwania hasła dla zapomnianych haseł. Podatność ta pozwala atakującemu na odszyfrowanie zaszyfrowanego projektu, odpowiadając tylko na jedno pytanie dotyczące odzyskiwania.

W oprogramowaniu Productivity Suite w wersji 4.4.1.19 odkryto podatność na przejście ścieżki względnej. Umożliwia ona nieautoryzowanemu zdalnemu atakującemu interakcję z symulatorem PLC ProductivityService oraz zapis plików z dowolnymi danymi na docelowej maszynie.

Podatność związana z nieprawidłowymi domyślnymi uprawnieniami w sterowniku ODBC MongoDB BI Connector umożliwia eskalację uprawnień. Problem ten dotyczy sterownika ODBC w wersjach od 1.0.0 do 1.4.6.

System TLS4B ATG jest podatny na niewłaściwe przetwarzanie wartości czasu Unix, które przekraczają przełom epoki 2038. Po osiągnięciu przez zegar systemowy 19 stycznia 2038 roku, następuje reset do 13 grudnia 1901 roku, co prowadzi do awarii uwierzytelniania oraz zakłóceń w podstawowych funkcjonalnościach systemu.

Portal przechwytywania może ujawniać wrażliwe informacje. Problem ten może prowadzić do nieautoryzowanego dostępu do danych użytkowników.

Portal przechwytujący może umożliwiać obejście uwierzytelniania, co stwarza ryzyko nieautoryzowanego dostępu do zasobów. Wykorzystanie tej podatności może prowadzić do poważnych naruszeń bezpieczeństwa.

Podatność CVE-2025-6978 dotyczy wstrzykiwania poleceń diagnostycznych, co może umożliwić atakującym wykonanie nieautoryzowanych poleceń w systemie. Wykorzystanie tej luki może prowadzić do poważnych naruszeń bezpieczeństwa.

Oprogramowanie MinKNOW firmy Oxford Nanopore Technologies w wersji 24.11 i wcześniejszych przechowuje tokeny uwierzytelniające w pliku znajdującym się w katalogu tymczasowym systemu (/tmp). Katalog ten jest zazwyczaj dostępny dla wszystkich użytkowników, co pozwala na dostęp do tokenu przez lokalnych użytkowników lub aplikacje.

Oprogramowanie NVIDIA vGPU zawiera podatność w Virtual GPU Manager, która pozwala złośliwemu gościowi na dostęp do nieinicjowanego wskaźnika. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.