Katalog podatności CVE

Podatność CVE-2025-13125 dotyczy DijiDemi i polega na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika, co umożliwia wykorzystanie zaufanych identyfikatorów. Problem ten będzie aktualny do 28.11.2025.

W bibliotece GLib (Gnome Lib) wykryto podatność umożliwiającą zdalnemu atakującemu wywołanie uszkodzenia sterty poprzez niedomiar bufora w parserze GVariant podczas przetwarzania złośliwie spreparowanych danych wejściowych. Może to prowadzić do odmowy usługi lub potencjalnego wykonania kodu.

Podatność w ColdFusion umożliwia atakującemu uzyskanie ograniczonego nieautoryzowanego dostępu do zapisu poprzez niewystarczającą ochronę poświadczeń. Luka wynika z nieprawidłowego przechowywania lub przesyłania danych uwierzytelniających. Eksploatacja nie wymaga interakcji użytkownika.

Podatność XXE w ColdFusion umożliwia nieautoryzowany odczyt plików na serwerze. Luka występuje w wersjach 2025.4, 2023.16, 2021.22 i starszych. Atakujący może wykorzystać ją do uzyskania dostępu do wrażliwych danych, choć wymaga to spełnienia dodatkowych warunków.

Błąd w interfejsie użytkownika Microsoft Exchange Server prowadzi do błędnej prezentacji krytycznych informacji, co umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku spoofingowego w sieci.

W phpIPAM v1.7.3 odkryto podatność na atak XSS w formularzu Request IP. Luka umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr instructions w żądaniu do endpointu /app/admin/instructions/edit-result.php.

Podatność CVE-2025-6924 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software e-BAP Automation, co pozwala na wystąpienie ataków typu Reflected XSS.

Podatność CVE-2025-6923 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software UNIS, co pozwala na ataki typu Reflected XSS.

Podatność CVE-2025-10876 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software e-BAP Automation, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji e-BAP Automation od 1.8.96 do przed v.41815.

W usłudze załączników w usememos memos v0.25.2 brak walidacji nazw plików umożliwia atakującym wykonanie path traversal. Podatność pozwala na dostęp do plików poza zamierzonym katalogiem.

Podatność w usłudze Identity Provider w usememos memos v0.25.2 umożliwia atakującym z niskimi uprawnieniami modyfikację lub usunięcie zarejestrowanych dostawców tożsamości. Może to prowadzić do przejęcia konta lub ataku typu Denial of Service (DoS).

W wielu plikach istnieje możliwość ujawnienia informacji między użytkownikami z powodu braku sprawdzenia uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami dowolną modyfikację lub usuwanie załączników utworzonych przez innych użytkowników.

W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami arbitralne usuwanie reakcji dodanych do notatek innych użytkowników.

Podatność w module zarządzania oknami związana z kontrolą uprawnień. Jej wykorzystanie może wpłynąć na dostępność systemu.

W bibliotece util-linux wykryto podatność polegającą na odczycie poza zakresem sterty podczas przetwarzania 256-bajtowych nazw użytkowników w funkcji `setpwnam()`. Problem dotyczy narzędzi SUID (Set User ID) w login-utils, które zapisują do bazy haseł.

Podatność na przesyłanie plików w telefonie Fanvil x210 V2 w wersji 2.12.20 umożliwia nieuwierzytelnionym atakującym w lokalnej sieci zapisywanie dowolnych plików w systemie plików urządzenia.

W urządzeniu Fanvil x210 V2 w wersji 2.12.20 wykryto podatność, która umożliwia nieuwierzytelnionym atakującym w lokalnej sieci wykonanie dowolnych poleceń systemowych.

W jądrze systemu Linux zidentyfikowano podatność w funkcji devl_rate_nodes_destroy, która nie ustawia wskaźnika rodzica na NULL dla obiektów rate, co prowadzi do pozostawienia wskaźnika w stanie wiszącym. To może powodować błędy związane z licznikiem odniesień w komponentach netdevsim i mlx5.

Podatność w HCLTech GRAGON przed wersją 7.6.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez API, które nie ograniczają liczby ani rozmiaru żądań.