Katalog podatności CVE

W podatności CVE-2025-23052 występuje możliwość wstrzyknięcia poleceń w uwierzytelnionym interfejsie wiersza poleceń usługi zarządzania siecią. Skuteczne wykorzystanie tej podatności może pozwolić atakującemu na wykonanie dowolnych poleceń jako uprzywilejowany użytkownik w systemie operacyjnym.

W interfejsie zarządzania opartym na sieci w systemach operacyjnych AOS-8 i AOS-10 występuje podatność na wstrzykiwanie parametrów, która wymaga uwierzytelnienia. Jej wykorzystanie może pozwolić uwierzytelnionemu użytkownikowi na nadpisanie dowolnych plików systemowych.

Podatność w Microsoft Office OneNote umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę, aby uruchomić złośliwy kod na systemie ofiary.

Nieograniczone zużycie zasobów w usłudze Windows Universal Plug and Play (UPnP) Device Host umożliwia nieautoryzowanemu atakującemu zablokowanie usługi w sieci.

Podatność w Microsoft Outlook umożliwia zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem użytkownika. Atakujący może wykorzystać tę lukę, wysyłając specjalnie przygotowaną wiadomość e-mail.

Podatność GDI+ umożliwia zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem. Atakujący może wykorzystać tę lukę poprzez specjalnie przygotowane obrazy lub dokumenty.

Podatność w usłudze Windows Universal Plug and Play (UPnP) Device Host może prowadzić do odmowy usługi (DoS). Atakujący może wykorzystać tę lukę, aby zablokować dostęp do usługi UPnP na zainfekowanym urządzeniu.

W AquilaCMS w wersji 1.412.13 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /api/v2/categories, gdzie manipulacja argumentem PostBody.populate prowadzi do deserializacji. Atak może być przeprowadzony zdalnie.

W rsync wykryto podatność umożliwiającą manipulację długością sumy kontrolnej (s2length) podczas porównywania sum plików. Atakujący może wykorzystać ten błąd do porównania sumy kontrolnej z niezainicjalizowaną pamięcią i wycieku jednego bajtu danych ze stosu.

W podatności CVE-2024-53561 w oprogramowaniu układowym Arcadyan Meteor 2 CPE FG360 ETV2.10 występuje luka umożliwiająca zdalne wykonanie kodu (RCE). Atakujący mogą wykonać dowolny kod poprzez odpowiednio skonstruowane żądanie.

Wykryto krytyczną podatność w Blog Botz dla motywu Journal w wersji 1.0 na platformie OpenCart. Problem dotyczy nieznanej części pliku /index.php?route=extension/module/blog_add, gdzie manipulacja argumentem 'image' prowadzi do nieograniczonego przesyłania plików.

Podatność typu path traversal w Fortinet FortiManager, FortiOS i FortiProxy umożliwia zdalnemu uwierzytelnionemu atakującemu z dostępem do interfejsu Security Fabric zapis dowolnych plików, a nieuwierzytelnionemu atakującemu usunięcie dowolnego folderu.

Podatność umożliwia uwierzytelnionemu atakującemu eskalację uprawnień do poziomu roota. Dzięki temu atakujący może uzyskać pełny dostęp do systemu.

Zidentyfikowano podatność w Mendix LDAP (wszystkie wersje < V1.1.2), która jest podatna na atak typu LDAP injection. Atakujący zdalny, nieautoryzowany może obejść weryfikację nazwy użytkownika.

Zidentyfikowano podatność w różnych modelach procesorów SIMATIC S7-1200, w tym CPU 1211C, 1212C, 1214C oraz 1215C. Problemy dotyczą zarówno wersji AC/DC/Rly, jak i DC/DC/DC oraz DC/DC/Rly.

W produkcie STEALTHONE D220/D340 firmy Y'S występuje podatność na atak typu SQL Injection. Atakujący, który uzyska dostęp do podatnego produktu, może zdobyć hasło administratora strony zarządzania w sieci.

W serwerach pamięci masowej STEALTHONE D220/D340/D440 występuje podatność na wstrzykiwanie poleceń systemowych. Użytkownik z uprawnieniami administratora, który zaloguje się na stronę zarządzania webowego, może wykonać dowolne polecenie systemowe.