Katalog podatności CVE

Wtyczka Ninja Forms do WordPressa jest podatna na Cross-Site Request Forgery (CSRF) w wersjach do 3.12.0 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce podczas eksportu plików CSV, co umożliwia nieuwierzytelnionym atakującym usunięcie tych plików, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka Team Members dla WordPressa w wersjach do 5.3.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez pola imienia i nazwiska. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

IBM Storage TS4500 Library w wersjach 1.11.0.0 i 2.11.0.0 jest podatna na cross-site scripting. Nieuwierzytelniony atakujący może osadzić dowolny kod JavaScript w interfejsie Web UI, zmieniając jego zamierzone działanie.

Wazuh w wersjach od 3.8.0 do przed 4.11.0 ma podatność w wazuh-analysisd na przepełnienie bufora sterty podczas parsowania elementów XML z komunikatów Windows EventChannel. Problem naprawiono w wersji 4.11.0.

W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /consulta-dispensas. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W systemie Portabilis i-Educar do wersji 2.10 wykryto słabość w pliku /module/Api/aluno. Manipulacja argumentem aluno_id prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W systemie itsourcecode Open Source Job Portal 1.0 występuje podatność SQL injection w pliku /admin/user/index.php?view=edit. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.

W systemie itsourcecode Online Clinic Management System 1.0 wykryto podatność na SQL injection w pliku /details.php?action=post. Manipulacja argumentem ID umożliwia zdalne wykonanie ataku. Exploit został publicznie udostępniony.

W Jinher OA 2.0 wykryto podatność w nieznanej funkcji pliku /c6/Jhsoft.Web.module/ToolBar/ManageWord.aspx/?text=GetUrl&style=1. Manipulacja powoduje odniesienie do zewnętrznej encji XML (XXE). Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.

Znaleziono podatność w systemie Dibo Data Decision Making System do wersji 2.7.0. Dotyczy ona funkcji downloadImpTemplet w pliku /common/dep/common_dep.action.jsp. Manipulacja argumentem filePath prowadzi do przejścia ścieżki (path traversal). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

DataTables w wersjach do 1.10.13 zawiera podatność path traversal w pliku /examples/resources/examples.php. Manipulacja argumentem src pozwala na path traversal. Atak może być zainicjowany zdalnie, a exploit został opublikowany i może być wykorzystany. Aktualizacja do wersji 1.10.15 wystarcza do naprawienia problemu. Producent DataTables zaleca aktualizację i niezalecane jest wdrażanie tego pliku na własnym serwerze.

W givanz Vvveb do wersji 1.0.7.2 wykryto podatność na cross-site request forgery (CSRF). Atakujący może zdalnie wykonać manipulację, a exploit jest publicznie dostępny. Maintainer projektu potwierdził podatność i zapowiedział poprawkę.

Platforma CTF Flag Forge w wersjach od 2.0.0 do przed 2.3.2 ujawnia adresy e-mail użytkowników w odpowiedzi JSON publicznego punktu końcowego /api/user/[username]. Poprawka dostępna od wersji 2.3.2 usuwa adresy e-mail z publicznych odpowiedzi API. Brak obejść.

W JupyterLab przed wersją 4.4.8 linki generowane przez składnię LaTeX w plikach Markdown i komórkach Markdown nie zawierały atrybutu noopener. Teoretycznie użytkownicy zewnętrznych rozszerzeń renderujących LaTeX mogliby być narażeni na ataki reverse tabnabbing, jeśli linki generowane przez te rozszerzenia zawierałyby target=_blank.

W givanz Vvveb do wersji 1.0.7.2 odkryto lukę bezpieczeństwa w komponencie Image Handler. Manipulacja prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.

Podatność CVE-2025-6396 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Webbeyaz Website Design, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy oprogramowania do projektowania stron internetowych do 14 lipca 2025 roku.

W Four-Faith Water Conservancy Informatization Platform 1.0 wykryto podatność w nieznanej funkcji pliku /sysRole/index.do/../../generalReport/download.do;usrlogout.do.do. Manipulacja argumentem fileName prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W kalcaddle kodbox do wersji 1.61.09 wykryto podatność na path traversal w funkcji fileOut w pliku app/controller/explorer/index.class.php. Manipulacja argumentem path umożliwia zdalny atak. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.

W bibliotece Ogre do wersji 14.4.1 wykryto słabość w funkcji STBIImageCodec::encode w pliku /ogre/PlugIns/STBICodec/src/OgreSTBICodec.cpp. Manipulacja powoduje niezgodność procedur zarządzania pamięcią. Atak wymaga lokalnego wykonania, a exploit jest publicznie dostępny.

Znaleziono błąd w mechanizmie subskrypcji zapytań na żywo w silniku bazy danych. Ta podatność pozwala użytkownikom z rolą record lub guest na obserwowanie nieautoryzowanych rekordów w tej samej tabeli, omijając kontrolę dostępu, poprzez spreparowane subskrypcje LIVE SELECT, gdy inni użytkownicy modyfikują lub usuwają rekordy.