Katalog podatności CVE

W aplikacji Payeer na Androida w wersji 2.5.0 wykryto podatność polegającą na nieprawidłowej kontroli dostępu w procesie zmiany kodu PIN. Lokalny atakujący z dostępem root do urządzenia może dynamicznie manipulować aplikacją, aby ominąć weryfikację bieżącego PIN-u i bezpośrednio zmienić kod PIN. Umożliwia to nieautoryzowanym użytkownikom zmianę PIN-u bez znajomości oryginalnego/aktualnego kodu.

W systemie FairSketch RISE Ultimate Project Manager & CRM 3.9.4 wykryto podatność na atak XSS (przechowywany). Administrator może wstrzyknąć złośliwy kod JavaScript podczas tworzenia nowych folderów w eksploratorze plików panelu administracyjnego.

Podatność CVE-2025-6396 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Webbeyaz Website Design, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy oprogramowania do projektowania stron internetowych do 14 lipca 2025 roku.

Podatność CVE-2025-11025 dotyczy platformy Vimesoft Corporate Messaging, która pozwala na wyciąganie wbudowanych danych wrażliwych z wysyłanych wiadomości. Problem ten występuje w wersjach od V1.3.0 do przed V2.0.0.

Backend OpenSSL w glib-networking nieprawidłowo sprawdza wartość zwracaną przez wywołanie BIO_write(), co prowadzi do odczytu poza dozwolonym zakresem pamięci.

W bibliotece libxslt podczas przetwarzania węzłów XSL wykryto podatność typu use-after-free. Może ona prowadzić do wyłuskania wygasłych wskaźników i awarii aplikacji.

W podatności CVE-2025-9031 występuje problem z różnicą czasową w DivvyDrive Web, który umożliwia przeprowadzanie wyszukiwań międzydomenowych. Dotyczy to wersji od 4.8.2.2 do przed 4.8.2.15.

Podatność na atak typu Cross-site scripting (XSS) w systemie YzmCMS do wersji 7.3, występująca w nagłówku referer na stronie rejestracji. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do przeglądarki ofiary.

W podatności CVE-2025-9342 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w aplikacji AHE Mobile firmy Anadolu Hayat Emeklilik Inc., co umożliwia nadużycie uprawnień. Problem dotyczy wersji AHE Mobile od 1.9.7 do przed 1.9.9.

W usłudze rezerwacji posiłków ARD odkryto podatność na atak typu Cross-Site Scripting (XSS). Podatność występuje w parametrze transactionID w adresie URL strony potwierdzenia transakcji. Z powodu niewłaściwej walidacji wejścia i kodowania wyjścia, atakujący może wstrzyknąć złośliwy kod JavaScript, który wykonuje się w przeglądarce ofiary.

W PivotX CMS w wersji 3.0.0 RC 3 odkryto podatność na atak XSS (Cross Site Scripting). Luka umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez pole subtitle.

Podatność SQL Injection w oprogramowaniu ARD GEC en Lign przed wersją z 23 kwietnia 2025 roku umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametry GET w pliku index.php.

Podatność CVE-2025-9035 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w platformie Virtual Library firmy Horato Internet Technologies Ind. And Trade Inc., co pozwala na ataki typu Reflected XSS.

W podatności CVE-2025-8079 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu Smart Trade E-Commerce, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji przed 4.5.0.0.1.

Podatność CVE-2025-0875 dotyczy systemu OBS (System Informacji o Sprawach Studenckich) firmy PROLIZ, umożliwiając obejście autoryzacji poprzez wstrzykiwanie parametrów. Problem ten występuje w wersjach przed v26.0328.

W jądrze Linux zdefiniowano ARCH_PAGE_TABLE_SYNC_MASK i arch_sync_kernel_mappings(), aby zapewnić prawidłową synchronizację tablic stron podczas wywoływania p*d_populate_kernel(). Łata naprawia sporadyczne błędy rozruchu na systemach z 4-poziomowym stronicowaniem i dużą ilością pamięci trwałej oraz awarię w vmemmap_set_pmd() spowodowaną dostępem do vmemmap przed sync_global_pgds().

W podatności CVE-2025-8664 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie zarządzania e-gminą StarCities, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem dotyczy wersji przed 20250825.

Podatność w systemie zarządzania dokumentami i przepływem pracy eBA firmy Bimser Solution Software Trade Inc. umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika, co prowadzi do wymuszonego przeglądania.

Podatność typu 'Open Redirect' w systemie zarządzania wysyłką e-maili firmy Pusula Communication Information Internet Industry and Trade Ltd. Co. umożliwia przekierowanie użytkowników do niezaufanych stron, co może prowadzić do nadużyć zaufania klientów.

W jądrze systemu Linux zidentyfikowano podatność związaną z niewłaściwą inicjalizacją pól w strukturze blkg_iostat_set podczas alokacji. Problemy te mogą prowadzić do paniki jądra z powodu dostępu do wskaźnika NULL oraz problemów w trybie debugowania.