Katalog podatności CVE

W jądrze systemu Linux zidentyfikowano podatność, która prowadzi do nieskończonej pętli w przypadku błędnej weryfikacji podpisu żądania SMB2. Problem występuje, gdy funkcja __process_request() nieprawidłowo ustawia wskaźnik do następnego polecenia, co skutkuje ciągłym przetwarzaniem tego samego błędnego żądania.

Podatność CVE-2025-8308 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie INFOREX - General Information Management System, co pozwala na ataki typu XSS poprzez nagłówki HTTP. Problem ten dotyczy wersji systemu od 2025 roku i wcześniejszych do 18 lutego 2026 roku.

W Wispotter, produkcie firmy Doruk Communication and Automation Industry and Trade Inc., występuje podatność związana z niewłaściwym ograniczeniem nadmiernych prób uwierzytelnienia, co umożliwia ataki typu brute force na hasła. Problem dotyczy wersji od 1.0 do przed v2025.10.08.1.

W podatności CVE-2025-7706 w oprogramowaniu Liderahenk występuje brak uwierzytelnienia dla krytycznej funkcji, co umożliwia zdalne włączenie kodu. Problem dotyczy wersji Liderahenk od 3.0.0 do 3.3.1 przed 3.5.0.

Podatność CVE-2025-8303 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w skrypcie nieruchomości EKA Software. Umożliwia to ataki typu Cross-Site Scripting (XSS).

W jądrze Linuxa zidentyfikowano podatność, która prowadzi do zastoju systemu z powodu oczekiwania procesów na zakończenie operacji zapisu stron metadanych w systemie plików btrfs. Problem dotyczy mechanizmu ograniczania zanieczyszczenia pamięci, który w niektórych przypadkach może prowadzić do deadlocku.

W jądrze Linux naprawiono błąd w segmentacji GSO dla pakietów GRO z listą frag_list, który powodował niską przepustowość podczas translacji protokołów IPv4/IPv6 przez XLAT. Problem polegał na tym, że funkcja skb_segment_list nieprawidłowo przetwarzała pakiety GRO po translacji, ponieważ XLAT tłumaczy tylko nagłówek głównego skb, pozostawiając skb w frag_list nietknięte. Łata wymusza ustawienie flagi SKB_GSO_DODGY dla pakietów GSO w helperach translacji, co powoduje użycie bezpieczniejszej funkcji skb_segment zamiast skb_segment_list.

W jądrze systemu Linux zidentyfikowano podatność w funkcji btrfs: send, która nieprawidłowo sprawdza inline extents w funkcji range_is_hole_in_parent(). Niewłaściwy dostęp do pola disk_bytenr może prowadzić do nieprawidłowego dostępu do pamięci, co jest szczególnie niebezpieczne w przypadku inline extents.

W jądrze Linuxa w podsystemie io_uring/io-wq występuje problem, który może prowadzić do długotrwałego blokowania procesu wyjścia (exit) wątków roboczych io-wq. Podczas przetwarzania dużych operacji odczytu (np. 2GB - 4096b) z plików /dev/msr*, które nie obsługują interfejsu ->read_iter(), każdy odczyt może trwać nawet 20 sekund, co przy wielu oczekujących zadaniach powoduje przekroczenie limitu czasu (140 sekund) i zgłoszenie błędu przez mechanizm hung_task.

Podatność w bibliotece beautiful-mermaid przed wersją 0.1.3 umożliwia wstrzyknięcie atrybutów SVG, co prowadzi do podatności na skrypty między witrynami (XSS) podczas renderowania diagramów Mermaid kontrolowanych przez atakującego. Wartości pochodzące od użytkownika z dyrektyw style i classDef są interpolowane do wartości atrybutów SVG bez odpowiedniego kodowania, co pozwala na wyrwanie się z kontekstu atrybutu i wstrzyknięcie dowolnych elementów/atrybutów SVG do wyrenderowanego wyniku.

W funkcjonalności profilu użytkownika 'Moje szczegóły' w Ideagen Q-Pulse 7.1.0.32 stwierdzono podatność, która pozwala uwierzytelnionemu użytkownikowi na przeglądanie danych profilowych innych użytkowników poprzez modyfikację parametru HTTP objectKey w adresie URL strony 'Moje szczegóły'.

Podatność CVE-2025-13004 dotyczy oprogramowania E-Commerce Package firmy Farktor Software E-Commerce Services Inc. i pozwala na obejście autoryzacji poprzez manipulację zmiennymi kontrolowanymi przez użytkownika.

Podatność w Safari i systemach Apple umożliwia awarię procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę obsługi pamięci.

Podatność w WebKit umożliwia awarię procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę obsługi pamięci w Safari 26.3, iOS 26.3, iPadOS 26.3, macOS Tahoe 26.3 oraz visionOS 26.3.

Podatność w Safari i systemach Apple pozwala na nieoczekiwane zakończenie procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę obsługi pamięci.

Podatność w WebKit umożliwia awarię procesu podczas przetwarzania złośliwie spreparowanych treści internetowych. Problem został rozwiązany poprzez poprawę zarządzania stanem.

MiniGal Nano w wersji 0.3.5 i wcześniejszych zawiera odbitą podatność XSS w pliku index.php przez parametr dir. Aplikacja konstruuje $currentdir z danych kontrolowanych przez użytkownika i osadza go w komunikacie błędu bez kodowania wyjścia, co pozwala atakującemu na dostarczenie HTML/JavaScript, które jest odbijane w odpowiedzi.

Zgłoszono podatność na dereferencję wskaźnika NULL, która dotyczy kilku wersji systemu operacyjnego QNAP. Zdalny atakujący posiadający konto administratora może wykorzystać tę podatność do przeprowadzenia ataku typu denial-of-service (DoS).

Podatność CVE-2025-10912 dotyczy oprogramowania TemizlikYolda firmy Saastech Cleaning and Internet Services Inc. i polega na obejściu autoryzacji poprzez manipulację zmiennymi kontrolowanymi przez użytkownika.

DoraCMS w wersji 3.1 i wcześniejszych zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji zdalnego pobierania obrazów UEditor. Aplikacja akceptuje adresy URL podane przez użytkownika i wykonuje żądania HTTP lub HTTPS bez odpowiedniej walidacji lub ograniczeń docelowych. Implementacja nie egzekwuje list dozwolonych adresów, nie blokuje wewnętrznych ani prywatnych zakresów IP oraz nie stosuje limitów czasu odpowiedzi ani rozmiaru odpowiedzi.