Katalog podatności CVE

W wielu produktach WSO2 z włączonym uwierzytelnianiem FIDO występuje obejście uwierzytelniania. Po usunięciu konta użytkownika system nie usuwa powiązanych danych rejestracji FIDO, więc nowe konto o tej samej nazwie może zostać powiązane z wcześniej zarejestrowanym urządzeniem FIDO. Może to pozwolić usuniętemu użytkownikowi na podszycie się pod nowe konto.

Wtyczka SureForms dla WordPressa przed wersją 1.9.1 nie sanitizuje i nie escapuje niektórych parametrów podczas wyświetlania ich na stronie, co może pozwolić użytkownikom z uprawnieniami admina i wyższym na przeprowadzenie ataków XSS.

W systemie code-projects Simple Food Ordering System 1.0 odkryto podatność XSS w pliku /ordersimple/order.php. Manipulacja argumentem ID umożliwia zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.

W narzędziu axboe fio do wersji 3.41 odkryto podatność w funkcji str_buffer_pattern_cb pliku options.c. Manipulacja prowadzi do dereferencji wskaźnika null. Atak musi być przeprowadzony lokalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Mailgen, pakiet Node.js do generowania responsywnych e-maili HTML, przed wersją 2.0.30 zawiera podatność na wstrzykiwanie HTML w e-mailach tekstowych generowanych przez metodę Mailgen.generatePlaintext(email). Projekty są zagrożone, jeśli używają tej metody z treścią pochodzącą od użytkownika. Podatność została załatana w wersji 2.0.30.

W Smartstore do wersji 6.2.0 w nieznanej funkcji pliku /checkout/confirm/ komponentu Gift Voucher Handler występuje warunek wyścigu (race condition). Atak można zainicjować zdalnie, ale jego złożoność jest wysoka, a wykorzystanie trudne.

W Harness 3.3.0 punkt końcowy logowania /api/v1/login nie ogranicza nadmiernej liczby prób uwierzytelnienia. Atak można przeprowadzić zdalnie, charakteryzuje się wysoką złożonością i trudną eksploatacją, a exploit został publicznie ujawniony.

W htmly do wersji 3.1.0 wykryto podatność cross-site scripting (XSS) w pliku /htmly/admin/field/post, w komponencie Custom Field Handler. Manipulacja argumentem label prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

Mattermost w wersjach 10.5.x <= 10.5.8 oraz 9.11.x <= 9.11.17 nieprawidłowo weryfikuje kontrolę dostępu, co pozwala każdemu uwierzytelnionemu użytkownikowi na pobieranie wrażliwych plików przez endpoint pobierania plików tablicy przy użyciu enumeracji UUID.

Aplikacje klienckie PureVPN na Linux do września 2025 nieprawidłowo obsługują zaporę sieciową: podczas łączenia z serwerem VPN opróżniają istniejące reguły iptables i ustawiają domyślne polityki ACCEPT. Usuwa to reguły zapory skonfigurowane ręcznie lub przez inne oprogramowanie (np. UFW, silniki kontenerów, polityki bezpieczeństwa systemu). Po rozłączeniu VPN pierwotny stan zapory nie jest przywracany, co może narazić system na ruch sieciowy, który wcześniej był blokowany. Dotyczy CLI 2.0.1 i GUI 2.10.0.

Aplikacje klienckie PureVPN na Linux do września 2025 pozwalają na wyciek ruchu IPv6 poza tunel VPN przy zdarzeniach sieciowych, takich jak ponowne połączenie Wi-Fi lub wznowienie systemu. W kliencie CLI VPN automatycznie się łączy i twierdzi, że jest połączony, ale ruch IPv6 nie jest już routowany ani blokowany; w kliencie GUI połączenie IPv6 pozostaje aktywne do momentu kliknięcia Połącz ponownie. Prawdziwy adres IPv6 jest ujawniany zewnętrznym usługom, co narusza prywatność i obchodzi reklamowaną ochronę przed wyciekiem IPv6. Dotyczy CLI 2.0.1 i GUI 2.10.0.

SoftIron HyperCloud w wersjach 2.5.0 do 2.6.3 może w pewnych warunkach nieprawidłowo dodawać klucze SSH użytkownika do kluczy autoryzowanych na poziomie administratora, umożliwiając nieuprawnione podniesienie uprawnień do administratora przez SSH. Dotyczy to nieprodukcyjnych kompilacji debugowych i wewnętrznych kompilacji deweloperskich.

Podatność w systemie e-learning youth-is-as-pale-as-poetry 1.0. Funkcja encryptSecret w pliku JwtUtils.java komponentu JWT Token Handler prowadzi do niewystarczająco losowych wartości. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.

W Tor (do wersji 0.4.7.16/0.4.8.17) obsługa deskryptorów usług onion prowadzi do zużycia zasobów. Atak można zainicjować zdalnie, ma on wysoką złożoność i jest trudny do wykorzystania; zaleca się aktualizację do wersji 0.4.8.18 lub 0.4.9.3-alpha.

W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność typu cross-site scripting w pliku /intranet/educar_funcao_cad.php (komponent Editar Função Page). Manipulacja argumentami abreviatura/tipoacao pozwala na zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.

Podatność została zidentyfikowana w Portabilis i-Educar do wersji 2.10. Dotyczy nieznanej funkcji pliku /intranet/educar_calendario_anotacao_cad.php. Manipulacja argumentami nm_anotacao/descricao prowadzi do cross-site scripting. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty.

Element Web i Element Desktop przed wersją 1.11.112 mają niewystarczającą walidację linków poprzednika pokoju, co pozwala zdalnemu atakującemu na tymczasowe zastąpienie wpisu pokoju na liście pokojów niepowiązanym pokojem dostarczonym przez atakującego. Efekt jest tymczasowy, ale może zdezorientować użytkowników i skłonić do działania na podstawie błędnych założeń. Problem został naprawiony, a użytkownicy powinni zaktualizować do wersji 1.11.112.

Click Studios Passwordstate w wersjach przed 9.9 Build 9972 posiada potencjalne obejście uwierzytelniania dla funkcji dostępu awaryjnego (Emergency Access). Poprzez użycie spreparowanego adresu URL na stronie Emergency Access nieuprawniona osoba może uzyskać dostęp do sekcji administracyjnej Passwordstate.

W systemach Apple wystąpił problem związany z ujawnieniem poufnych informacji, który został rozwiązany poprzez lepsze redagowanie danych. Podatność naprawiono w iOS 18.7, iPadOS 18.7, iOS 26, iPadOS 26, macOS Sequoia 15.7, macOS Sonoma 14.8 oraz macOS Tahoe 26. Aplikacja może być w stanie fingerprintować użytkownika.

W systemach Apple (iOS, iPadOS, macOS, tvOS, visionOS, watchOS) występuje błąd zapisu poza granicami bufora, który został naprawiony poprzez poprawioną walidację danych wejściowych. Przetwarzanie złośliwie spreparowanego pliku wideo może prowadzić do nieoczekiwanego zakończenia aplikacji. Podatność naprawiono w iOS 18.7, iPadOS 18.7, iOS 26, iPadOS 26, macOS Sequoia 15.7, macOS Sonoma 14.8, macOS Tahoe 26, tvOS 26, visionOS 26, watchOS 26.