Katalog podatności CVE

W podatności CVE-2025-47902 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w Microchip Time Provider 4100. Problem dotyczy wersji Time Provider 4100 przed 2.5.

Podatność CVE-2025-47901 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemowych w Microchip Time Provider 4100, co umożliwia atak typu OS Command Injection. Problem ten dotyczy wersji Time Provider 4100 przed 2.5.

W podatności CVE-2025-47900 w Microchip Time Provider 4100 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach systemowych, co pozwala na wstrzyknięcie poleceń systemowych. Problem dotyczy wersji Time Provider 4100 przed 2.5.

W podatności CVE-2025-3465 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w produktach ABB CoreSense™ HM oraz ABB CoreSense™ M10. Problem dotyczy wersji CoreSense™ HM do 2.3.1 oraz CoreSense™ M10 do 1.4.1.12.

W jądrze Linux wykryto podatność w module SMC (Shared Memory Communications). Funkcja smc_rx_splice() wywołuje get_page() na buforach DMB alokowanych przez kzalloc(), które nie są stronami pamięci, co powoduje ostrzeżenie WARN_ON_ONCE() i może prowadzić do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w mechanizmie hugetlb, gdzie podczas migracji strony może dojść do wyścigu z operacją fallocate. Funkcja remove_inode_single_folio sprawdza, czy folio jest zmapowane, ale robi to bez blokady, co prowadzi do błędnego usunięcia wciąż zmapowanego folio i wywołania BUG w filemap_unaccount_folio.

W TruffleHog w wersji 3.90.2 występuje podatność na wykonanie dowolnego kodu związana z funkcjonalnością git. Specjalnie przygotowane repozytorium może prowadzić do wykonania złośliwego kodu.

Brak ograniczenia szybkości żądań w punkcie końcowym weryfikacji jednorazowego hasła (OTP) w SigningHub v8.6.8 umożliwia atakującym ominięcie weryfikacji poprzez atak brute-force.

Brak ograniczenia szybkości w komponencie /Home/UploadStreamDocument w SigningHub v8.6.8 umożliwia atakującym przeprowadzenie ataku typu Denial of Service (DoS) poprzez przesyłanie nadmiernej liczby plików.

Podatność w SigningHub v8.6.8 umożliwia atakującym dodawanie kont użytkowników bez ograniczeń szybkości, co prowadzi do wyczerpania zasobów i odmowy usługi (DoS).

ETERNUS SF dostarczany przez Fsas Technologies Inc. zawiera lukę związaną z nieprawidłowymi domyślnymi uprawnieniami. Użytkownik o niskich uprawnieniach mający dostęp do serwera zarządzania może uzyskać dane uwierzytelniające do bazy danych, co potencjalnie umożliwia wykonanie poleceń systemowych z uprawnieniami administratora.

Wykryto podatność w urządzeniu 70mai X200 do wersji 20251010, dotycząca nieznanej funkcjonalności komponentu HTTP Web Server. Manipulacja prowadzi do wykorzystania domyślnych danych uwierzytelniających, co umożliwia zdalny atak.

W urządzeniu 70mai X200 do wersji 20251010 wykryto lukę w nieznanej funkcji komponentu Pairing. Wykonanie manipulacji może prowadzić do braku autoryzacji, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność w LibreWolf do wersji 143.0.4-1 na systemie Windows, która dotyczy nieznanej funkcji pliku assets/setup.nsi komponentu Instalatora. Manipulacja ta prowadzi do niekontrolowanej ścieżki wyszukiwania.

Wtyczka Theme Editor dla WordPressa jest podatna na atak typu Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 3.0. Problem wynika z braku lub nieprawidłowej walidacji nonce na stronie 'theme_editor_theme'.

Wykryto podatność w sterowniku Nixdorf Wincor PORT IO do wersji 1.0.0.1, która dotyczy funkcji sub_11100 w bibliotece wnport.sys. Manipulacja ta prowadzi do przepełnienia bufora na stosie, wymagając lokalnego dostępu do systemu.

Wtyczka PPOM – Product Addons & Custom Fields dla WooCommerce w WordPressie jest podatna na atak typu SQL Injection poprzez funkcję PPOM_Meta::get_fields_by_id() w wersjach do 33.0.15 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Atakujący mogą dodawać dodatkowe zapytania SQL do już istniejących, co pozwala na wydobycie wrażliwych informacji z bazy danych.

Wtyczka Event Tickets and Registration dla WordPressa jest podatna na obejście płatności we wszystkich wersjach do 5.26.5 włącznie. Problem wynika z braku weryfikacji, czy dany typ biletu powinien być darmowy, co pozwala użytkownikom na ominięcie płatności.

Wtyczka 10WebMapBuilder dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez zmianę ustawień wtyczki w wersjach do 1.0.63 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych oraz braku odpowiednich kontroli uprawnień. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Podatność typu path traversal w wszystkich wersjach Qodo Qodo Gen IDE umożliwia atakującemu odczyt dowolnych lokalnych plików w obrębie oraz poza aktualnymi projektami na systemie użytkownika końcowego. Można do niej dotrzeć bezpośrednio lub poprzez pośrednie wstrzyknięcie polecenia.