Katalog podatności CVE

Podatny produkt nie ogranicza liczby prób wprowadzenia poprawnego PIN-u dla zarejestrowanego urządzenia, co może umożliwić atakującemu uzyskanie nieautoryzowanego dostępu przy użyciu metod brute-force, jeśli posiada ważny numer seryjny urządzenia. API dostarcza jasnych informacji zwrotnych, gdy poprawny PIN zostanie wprowadzony.

Endpoint /users w Statamic Core przed wersją 2.11.8 umożliwia atak XSS, który pozwala na dodanie użytkownika administratora. Można to wykorzystać za pomocą ataku CSRF. Możliwe jest wystąpienie XSS przechowywanego poprzez ładunek JavaScript w nazwie użytkownika podczas rejestracji konta oraz XSS odzwierciedlonego poprzez PATH_INFO /users.

Oprogramowanie MiR w wersjach wcześniejszych niż 3.0.0 jest podatne na lukę typu injection komend. Złośliwe żądanie HTTP stworzone przez uwierzytelnionego użytkownika może umożliwić wykonanie dowolnych poleceń na systemie operacyjnym.

Biblioteka skops w wersjach 0.12.0 i poniżej ma lukę w funkcji Card.get_model, która nie zapobiega wykonaniu dowolnego kodu. Przy ładowaniu modeli w formacie .skops stosowane jest bezpieczne ładowanie, ale w przypadku innych formatów plików funkcja przechodzi do joblib, co może prowadzić do wykonania złośliwego kodu.

W GStreamer w wersji do 1.26.1, funkcja qtdemux_parse_trak wtyczki isomp4 może odczytywać dane poza końcem bufora sterty podczas analizy pliku MP4, co może prowadzić do ujawnienia informacji.

GPMAW 14, oprogramowanie bioinformatyczne, ma krytyczną podatność związaną z niebezpiecznymi uprawnieniami do plików w swoim katalogu instalacyjnym. Katalog ten jest dostępny z pełnymi uprawnieniami do odczytu, zapisu i wykonywania dla wszystkich użytkowników, co pozwala na manipulację plikami, w tym plikami wykonywalnymi.

W komponencie PdfViewer aplikacji Agenzia Impresa Eccobook 2.81.1 wykryto podatność na ataki XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez parametr Temp.

LinkJoin przez 882f196 niewłaściwie obsługuje własność tokenów podczas resetowania hasła. Może to prowadzić do nieautoryzowanego dostępu do kont użytkowników.

LinkJoin w wersji 882f196 niewłaściwie obsługuje brak sprawdzania typu podczas resetowania hasła. Może to prowadzić do nieautoryzowanego dostępu do kont użytkowników.

W podatności CVE-2025-24000 występuje możliwość ominięcia uwierzytelnienia w wtyczce Post SMTP autorstwa Saada Iqbala. Problem ten dotyczy wersji Post SMTP od n/a do 3.2.0 włącznie.

W wielu produktach SEIKO EPSON i FUJIFILM Corporation domyślne hasło administratora jest łatwe do odgadnięcia na podstawie informacji dostępnych przez SNMP. Jeśli hasło administratora nie zostanie zmienione, zdalny atakujący z dostępem do SNMP może zalogować się do produktu z uprawnieniami administratora.

EDK2 zawiera podatność w BIOS, która umożliwia atakującemu spowodowanie 'awarii mechanizmu ochrony' przy lokalnym dostępie. Udana eksploitacja tej podatności prowadzi do wykonania dowolnego kodu oraz wpływa na poufność, integralność i dostępność.

Podatność nieograniczonego przesyłania plików w Vedo Suite 2024.17 umożliwia zdalnym, uwierzytelnionym atakującym zapis do dowolnych ścieżek systemu plików poprzez wykorzystanie niebezpiecznej funkcji 'uploadPreviews()' w '/api_vedo/colorways_preview', co prowadzi do zdalnego wykonania kodu (RCE).

W Vedo Suite w wersji 2024.17 odkryto niebezpieczne przechowywanie danych uwierzytelniających w pliku /api_vedo/configuration/config.yml. Plik ten zawiera poświadczenia w postaci jawnego tekstu, tajne klucze oraz informacje o bazie danych.

Middleware generuje nadmierną ilość alokacji pamięci na stercie podczas przetwarzania złośliwych żądań preflight, które zawierają nagłówek Access-Control-Request-Headers (ACRH) z wartością zawierającą wiele przecinków. Taki stan rzeczy może być wykorzystany przez atakujących do wywołania nadmiernego obciążenia na middleware/serwerze, co może prowadzić do odmowy usługi.

Podatność na skryptowanie między witrynami (XSS) w systemie Zone Bitaqati do wersji 3.4.0. Umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do stron wyświetlanych innym użytkownikom.

W dniu 18 kwietnia 2025 roku Microsoft ogłosił zmiany w zabezpieczeniach serwera Exchange dla wdrożeń hybrydowych oraz towarzyszące poprawki. Po dalszym dochodzeniu zidentyfikowano konkretne implikacje bezpieczeństwa związane z tymi zmianami.

Podatność CVE-2025-46390 dotyczy niezgodności w odpowiedziach, które mogą być obserwowane przez atakującego. Tego rodzaju luka może prowadzić do ujawnienia informacji o systemie lub aplikacji.

Podatność CVE-2025-46387 dotyczy obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Może to prowadzić do nieautoryzowanego dostępu do zasobów systemu.