Katalog podatności CVE

Podatność CVE-2025-0878 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Akinsoft LimonDesk, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji LimonDesk od s1.02.14 do przed v1.02.17.

W bibliotece libsoup znaleziono błąd w mechanizmie buforowania SoupCache, który ignoruje nagłówek HTTP Vary podczas oceny buforowanych odpowiedzi. Nagłówek ten zapewnia, że odpowiedzi różnią się odpowiednio w zależności od nagłówków żądania, takich jak język czy uwierzytelnienie. Bez tego sprawdzenia buforowana treść może być nieprawidłowo ponownie wykorzystywana w różnych żądaniach, potencjalnie ujawniając wrażliwe dane użytkownika.

Podatność w Akinsoft LimonDesk związana z niewłaściwym ograniczeniem renderowanych warstw UI lub ramek umożliwia atak typu iFrame Overlay, co jest zgodne z CAPEC - 103 - Clickjacking. Problem dotyczy wersji LimonDesk od s1.02.14 do przed v1.02.17.

Podatność w Akinsoft MyRezzta związana z niewłaściwym egzekwowaniem workflow oraz niekontrolowanym zużyciem zasobów umożliwia manipulację danymi wejściowymi. Problem dotyczy wersji MyRezzta od s2.02.02 do przed v2.05.01.

Podatność CVE-2024-13064 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Akinsoft MyRezzta, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten występuje w wersjach MyRezzta od s2.02.02 do przed v2.05.01.

Podatność CVE-2024-13063 w Akinsoft MyRezzta pozwala na ominięcie autoryzacji poprzez klucz kontrolowany przez użytkownika, co umożliwia wymuszone przeglądanie zasobów. Problem dotyczy wersji MyRezzta od s2.02.02 do przed v2.05.01.

Samsung Notes przed wersją 4.4.30.63 ma niewłaściwą kontrolę dostępu, co pozwala fizycznym atakującym na dostęp do danych w wielu profilach użytkowników. Wymagana jest interakcja użytkownika.

Niewłaściwe zarządzanie uprawnieniami w ThemeManager przed wersją SMR Sep-2025 Release 1 pozwala lokalnym uprzywilejowanym atakującym na ponowne użycie elementów próbnych.

Outline w wersjach od 0.72.0 do 0.83.0 wprowadził funkcję lokalnego przechowywania plików jako opcjonalną strategię przechowywania. Funkcja ta umożliwiała obejście CSP oraz obejście ContentType, co może ułatwić dalsze ataki. W przypadku self-hostingu z FILE_STORAGE=local na tej samej domenie co aplikacja Outline złośliwy ładunek może zostać przesłany jako załącznik i obejść ograniczenia CSP, pozwalając na wykonanie skryptu w kontekście innego użytkownika. Naprawiono w wersji 0.84.0.

IBM DevOps Deploy / IBM UrbanCode Deploy (UCD) w wersji 8.1 przed 8.1.2.2 może pozwolić uwierzytelnionemu użytkownikowi na uzyskanie wrażliwych informacji o konfiguracji systemu.

W aplikacji Beakon przed wersją 5.4.3 wykryto nieprawidłową kontrolę dostępu, która umożliwia uwierzytelnionym atakującym z niskimi uprawnieniami eskalację przywilejów i wykonywanie poleceń z prawami administratora.

W oprogramowaniu sprzętowym routera Wavlink AC1200 (wersje M32A3_V1410_230602 i M32A3_V1410_240222) wykryto podatność na wstrzykiwanie poleceń po uwierzytelnieniu podczas resetowania hasła. Problem występuje w funkcji "set_sys_adm" w pliku "adm.cgi" z powodu nieprawidłowego oczyszczania pola "newpass".

Podatność CVE-2025-0670 w Akinsoft ProKuafor umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika, co prowadzi do ujawnienia zasobów. Problem dotyczy wersji ProKuafor od s1.02.07 do przed v1.02.08.

W podatności CVE-2024-12974 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Akinsoft ProKuaför, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem dotyczy wersji ProKuaför od s1.02.07 do przed v1.02.08.

Oprogramowanie E3 Site Supervisor Control (wersje firmware przed 2.31F01) zawiera ukryte wywołanie API w usługach aplikacji, które umożliwia włączenie SSH i Shellinabox, domyślnie wyłączonych. Atakujący z dostępem administracyjnym do usług aplikacji może wykorzystać to API do zdalnego dostępu do systemu operacyjnego.

E3 Site Supervisor Control (wersja firmware < 2.31F01) posiada funkcję planu pięter, która pozwala nieuwierzytelnionemu atakującemu na przesyłanie plików planu pięter. Poprzez przesłanie specjalnie spreparowanego pliku atakujący może wstrzyknąć trwały XSS do strony internetowej planu pięter.

Podatność CVE-2025-0640 w Akinsoft OctoCloud umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika, co prowadzi do ujawnienia wycieków zasobów. Problem dotyczy wersji OctoCloud od s1.09.02 do przed v1.11.01.

W podatności CVE-2024-12973 w Akinsoft OctoCloud występuje błąd walidacji pochodzenia, który umożliwia atak typu HTTP Response Splitting. Problem dotyczy wersji OctoCloud od s1.09.01 do przed v1.11.01.

Podatność CVE-2024-12972 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Akinsoft OctoCloud, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji OctoCloud od s1.09.01 do przed v1.11.01.

Aplikacja "Gunosy" zawiera podatność, w której wrażliwe informacje mogą być zawarte w komunikacji wychodzącej aplikacji. Jeśli użytkownik odwiedzi spreparowany URL, atakujący może uzyskać JWT (JSON Web Token).