Katalog podatności CVE

Wykryto podatność w urządzeniach China Mobile P22g-CIac, ZXWT-MIG-P4G4V, ZXWT-MIG-P8G8V, GT3200-4G4P oraz GT3200-8G8P do wersji 20250305. Problem ten, oceniony jako krytyczny, dotyczy nieznanego przetwarzania w komponencie CLI su Command Handler, co prowadzi do wykorzystania domyślnych poświadczeń.

Problem logiczny został rozwiązany poprzez poprawę obsługi plików. Problematyczny błąd został naprawiony w iOS 18.2, iPadOS 18.2, macOS Sequoia 15.2, tvOS 18.2, visionOS 2.2 oraz watchOS 11.2.

W systemie Keytop 路内停车收费系统 w wersji 2.7.1 odkryto krytyczną podatność. Dotyczy ona nieznanej funkcjonalności pliku /saas/commonApi/park/getParks w komponencie API, co prowadzi do niewłaściwej autoryzacji. Atak może być przeprowadzony zdalnie.

Wystawione na działanie ioctl w sterowniku IMFForceDelete programu IObit Malware Fighter w wersji 12.1.0 umożliwia atakującym dowolne usuwanie plików oraz eskalację uprawnień.

Wykryto lukę w Hive, składniku Multicluster Engine (MCE) i Advanced Cluster Management (ACM). Podatność ta powoduje ujawnienie poświadczeń VCenter w obiekcie ClusterProvision po utworzeniu klastra VSphere.

W urządzeniu GL-INet Beryl AX GL-MT3000 w wersji 4.7.0 odkryto problem, który pozwala atakującym na pobieranie dowolnych plików z systemu plików urządzenia. Możliwe jest to poprzez dodawanie dowiązań symbolicznych na zewnętrznym dysku używanym jako udział samba.

Brak walidacji parametru ścieżki (/download) w GL-INet Beryl AX GL-MT3000 w wersji 4.7.0 umożliwia atakującym pobieranie dowolnych plików z systemu plików urządzenia za pomocą odpowiednio skonstruowanego żądania POST.

W przełączniku FS Inc S3150-8T2F przed wersją S3150-8T2F_2.2.0D_135103 występuje podatność na atak XSS w funkcji konfiguracji przedziałów czasowych interfejsu administracyjnego. Atakujący może wstrzyknąć złośliwy JavaScript w pole "Time Range Name", które nie jest odpowiednio sanityzowane. Po zapisaniu, skrypt wykonuje się w przeglądarce każdego użytkownika odwiedzającego podatną stronę, w tym administratorów.

Expr to język wyrażeń oraz ocena wyrażeń dla Go. Przed wersją 1.17.0, parser wyrażeń Expr, gdy otrzyma nieograniczony ciąg wejściowy, próbuje skompilować cały ciąg i generować węzeł drzewa składniowego (AST) dla każdej części wyrażenia, co może prowadzić do nadmiernego zużycia pamięci i awarii procesu z powodu braku pamięci.

W 3DPlay w 3DSwymer, od wersji 3DEXPERIENCE R2022x do R2024x, występuje podatność na przechowywane Cross-site Scripting (XSS). Umożliwia to atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność typu Cross-site Scripting (XSS) w 3DDashboard w 3DSwymer od wersji 3DEXPERIENCE R2022x do R2024x umożliwia atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Wykryto krytyczną podatność w frameworku viames Pair w wersjach do 1.9.11. Dotyczy ona funkcji getCookieContent w pliku /src/UserRemember.php komponentu PHP Object Handler, gdzie manipulacja argumentem cookieName prowadzi do deserializacji.

Zarządzane przez Zohocorp aplikacje ManageEngine Analytics Plus oraz Zoho Analytics w wersjach lokalnych starszych niż 6130 są podatne na przejęcie konta tylko dla użytkowników AD z powodu twardo zakodowanego wrażliwego tokena.

W VAM Virtual Airlines Manager do wersji 2.6.2 zidentyfikowano krytyczną podatność, która dotyczy nieznanej funkcji pliku /vam/index.php w komponencie obsługi parametrów HTTP GET. Manipulacja argumentami ID/registry_id/plane_icao prowadzi do wstrzyknięcia SQL.

W systemie DayCloud StudentManage 1.0 odkryto krytyczną podatność, która dotyczy nieznanego kodu w pliku /admin/adminScoreUrl komponentu Login Endpoint. Manipulacja argumentem query prowadzi do ataku typu SQL injection, który może być przeprowadzony zdalnie.

W urządzeniach IROAD Dash Cam X5 i Dash Cam X6 do wersji 20250308 odkryto krytyczną podatność związaną z funkcjonalnością parowania urządzeń. W wyniku manipulacji dochodzi do ujawnienia twardo zakodowanych poświadczeń.

Koha w wersjach przed 24.11.02 pozwala administratorom na wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrze raportu tools/scheduler.pl.

Alludo Parallels Desktop w wersjach przed 19.4.2 oraz 20.x przed 20.2.2 dla macOS na platformach Intel umożliwia eskalację uprawnień do poziomu roota poprzez procedurę tworzenia maszyny wirtualnej.

W serwerze X.Org X w wersjach od 20.11 do 21.1.16 występuje warunek wyścigu, gdy aplikacja kliencka korzysta z easystroke do gestów myszy. Główny wątek modyfikuje różne struktury danych używane przez wątek wejściowy bez uzyskania blokady.

W podatności CVE-2025-27281 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji cookforweb All In Menu. Problem dotyczy wersji All In Menu od n/a do 1.1.5 włącznie.