Katalog podatności CVE

Wtyczka PixelYourSite dla WordPressa przed wersją 11.1.2 nie waliduje niektórych parametrów URL przed użyciem ich do generowania ścieżek przekazywanych do funkcji, co pozwala administratorom na przeprowadzenie ataków LFI (Local File Inclusion).

Podatność typu Cross-Site Scripting (XSS) w rozszerzeniu CookieConsent dla MediaWiki, należącym do Wikimedia Foundation. Dotyczy wersji od v0.1.0 przed v2.0.0. Podatność wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania stron.

Wysoko uprawniony zdalny atakujący może wpływać na parametry przekazywane do polecenia openssl z powodu niewłaściwej neutralizacji znaków specjalnych podczas dodawania certyfikatu samopodpisanego chronionego hasłem.

W urządzeniach Mercku M6a do wersji 2.1.0 system uwierzytelniania używa przewidywalnych tokenów sesji opartych na znacznikach czasu.

Urządzenia Mercku M6a do wersji 2.1.0 pozwalają na sesje TELNET poprzez żądanie router.telnet.enabled.update przez administratora.

W urządzeniach Mercku M6a do wersji 2.1.0 tokeny sesji pozostają ważne przez co najmniej miesiące w niektórych przypadkach.

Podatność w produkcie Oracle ZFS Storage Appliance Kit (komponent: Naming Subsystem) w wersji 8.8. Atakujący z wysokimi uprawnieniami i dostępem sieciowym przez HTTP może łatwo wykorzystać tę podatność, powodując częściowy atak DoS. CVSS 3.1 Base Score 2.7 (wpływ na dostępność).

Podatność w produkcie Oracle ZFS Storage Appliance Kit (komponent: Block Storage). Dotyczy wersji 8.8. Atakujący z wysokimi uprawnieniami i dostępem sieciowym przez HTTP może spowodować częściową odmowę usługi (partial DoS). CVSS 3.1 Base Score 2.7 (wpływ na dostępność).

Podatność w produkcie Oracle GraalVM for JDK firmy Oracle Java SE, w komponencie Compiler. Dotyczy wersji Oracle GraalVM for JDK 17.0.16 oraz 21.0.8. Trudna do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym uzyskać nieautoryzowany dostęp do odczytu części danych dostępnych w Oracle GraalVM for JDK (CVSS 3.1: 3.7).

Podatność w komponencie Unified Audit w Oracle Database Server (wersje 23.4-23.9). Atakujący z uprawnieniami DBA i dostępem sieciowym przez Oracle Net może skompromitować Unified Audit, co może prowadzić do nieautoryzowanej aktualizacji, wstawiania lub usuwania danych. CVSS 3.1 Base Score 2.7.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: Libraries). Dotyczy wersji Oracle Java SE: 21.0.8 i 25; Oracle GraalVM for JDK: 21.0.8; Oracle GraalVM Enterprise Edition: 21.3.15. Trudna do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym poprzez wiele protokołów na naruszenie tych produktów. Skuteczny atak może skutkować nieautoryzowaną aktualizacją, wstawieniem lub usunięciem dostępu do niektórych danych. CVSS 3.1 Base Score 3.7 (wpływ na integralność).

Podatność w komponencie RDBMS Functional Index bazy danych Oracle Database Server. Dotyczy wersji 23.4-23.9. Atakujący z uprawnieniami SYSDBA i dostępem sieciowym przez Oracle Net może wykorzystać podatność, co skutkuje nieautoryzowanym odczytem podzbioru danych dostępnych w RDBMS Functional Index. CVSS 3.1 Base Score 2.7 (wpływ na poufność).

Podatność na arbitralne usuwanie plików w komponencie agenta instalacyjnego w ZohoCorp ManageEngine Endpoint Central w wersjach wcześniejszych niż 11.4.2508.14, 11.4.2516.06 i 11.4.2518.01.

Moduł Tileservice jest dotknięty podatnością na wyciek informacji. Skuteczne wykorzystanie tej podatności może wpłynąć na poufność usługi.

W LogicalDOC Community Edition do wersji 9.2.1 wykryto lukę w pliku /frontend.jsp w komponencie Add Contact Page. Manipulacja argumentami First Name/Last Name/Company/Address/Phone/Mobile prowadzi do cross site scripting, a exploit został publicznie ujawniony.

W toeverything AFFiNE do wersji 0.24.1 zidentyfikowano lukę w komponencie Avatar Upload Image Endpoint. Manipulacja danymi prowadzi do cross site scripting, a exploit jest publicznie dostępny.

W rozszerzeniu Cargo dla MediaWiki (wersje 1.39, 1.43, 1.44) występuje podatność typu SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w zapytaniach SQL. Podatność może prowadzić do wykonania dowolnych zapytań SQL.

Rozszerzenie MediaWiki QuizGame jest podatne na przechowywany cross-site scripting (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji 1.39, 1.43 i 1.44.

Rozszerzenie MediaWiki PollNY jest podatne na przechowywany cross-site scripting (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji 1.39, 1.43 i 1.44.

Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 przesyła hasła kont użytkowników w postaci jawnej w wiadomościach e-mail.