Katalog podatności CVE

W podatności CVE-2025-3260 użytkownicy z autoryzacją mogą obejść uprawnienia do pulpitów nawigacyjnych i folderów w punktach końcowych /apis/dashboard.grafana.app/*. Dotyczy to wszystkich wersji API (v0alpha1, v1alpha1, v2alpha1).

W QtCore znaleziono problem w prywatnej funkcji API qDecodeDataUrl(), używanej w QTextDocument i QNetworkReply. Wywołanie jej z nieprawidłowymi danymi, np. URL zawierającym parametr "charset" bez wartości, powoduje asercję i zatrzymanie programu (odmowa usługi).

W systemie Marwal Infotech CMS w wersji 1.0 odkryto krytyczną podatność. Dotyczy ona nieznanego kodu w pliku /page.php, gdzie manipulacja argumentem ID prowadzi do wstrzykiwania SQL.

W Aem Solutions CMS do wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem ID w pliku /page.php prowadzi do ataku typu SQL injection, który można przeprowadzić zdalnie.

Adapter Bluetooth HCI od Realtek ma podatność związaną z śledzeniem linków. Lokalni atakujący z normalnymi uprawnieniami mogą stworzyć symboliczny link o tej samej nazwie co określony plik, co prowadzi do usunięcia dowolnych plików wskazywanych przez ten link.

Wtyczka Offsprout Page Builder dla WordPressa jest podatna na eskalację uprawnień z powodu niewłaściwej autoryzacji w funkcji permission_callback() w wersjach od 2.2.1 do 2.15.2. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Contributor i wyżej, odczyt, tworzenie, aktualizowanie lub usuwanie dowolnych metadanych użytkowników, w tym zmianę własnych wp_capabilities na administratora.

Wtyczka WP-GeoMeta dla WordPressa jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji wp_ajax_wpgm_start_geojson_import() w wersjach od 0.3.4 do 0.3.5. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, podniesienie swoich uprawnień do poziomu administratora.

W Lenovo PC Manager zgłoszono podatność związaną z niewłaściwym zarządzaniem uprawnieniami, która może pozwolić lokalnemu atakującemu na wykonywanie dowolnych operacji usuwania plików jako użytkownik z podwyższonymi uprawnieniami.

W Lenovo PC Manager zgłoszono podatność związaną z niewłaściwymi domyślnymi uprawnieniami, która może umożliwić lokalnemu atakującemu podniesienie uprawnień.

W Lenovo PC Manager zgłoszono podatność na niezaufaną ścieżkę wyszukiwania, która może umożliwić lokalnemu atakującemu podniesienie uprawnień.

Podatność typu Cross-site Scripting (XSS) w zarządzaniu elementami serwisowymi w Service Process Engineer od wersji 3DEXPERIENCE R2024x do R2025x pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Występuje podatność typu Cross-site Scripting (XSS) w 3D Markup w Collaborative Industry Innovator, która pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika. Dotyczy to wersji od 3DEXPERIENCE R2022x do 3DEXPERIENCE R2025x.

Występuje podatność typu Cross-site Scripting (XSS) w Change Governance w Product Managerze od wersji 3DEXPERIENCE R2022x do R2025x, która pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Występuje podatność typu Cross-site Scripting (XSS) w module Wymagania w Product Managerze, która dotyczy wersji od 3DEXPERIENCE R2022x do 3DEXPERIENCE R2025x. Umożliwia ona atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność typu Cross-site Scripting (XSS) w module Results Analytics w Multidisciplinary Optimization Engineer od wersji 3DEXPERIENCE R2022x do R2024x pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Występuje podatność typu Cross-site Scripting (XSS) w Model Definition w Product Managerze, która dotyczy wersji od 3DEXPERIENCE R2022x do 3DEXPERIENCE R2025x. Umożliwia ona atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Występuje podatność typu Cross-site Scripting (XSS) w module Zarządzania Ryzykiem w Project Portfolio Manager, od wersji 3DEXPERIENCE R2022x do R2025x. Umożliwia ona atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność typu Cross-site Scripting (XSS) w systemie City Discover w City Referential Manager w wersji 3DEXPERIENCE R2025x pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność typu Cross-site Scripting (XSS) w City Referential Manager w wersji 3DEXPERIENCE R2025x pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność typu Cross-site Scripting (XSS) w aplikacji Compare w systemie Collaborative Industry Innovator, występująca od wersji 3DEXPERIENCE R2023x do R2025x, umożliwia atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.