Katalog podatności CVE

W Ruckus Network Director (RND) w wersjach poniżej 4.5.0.54, urządzenie OVA zawiera zakodowane na stałe dane uwierzytelniające dla użytkownika bazy danych PostgreSQL. W domyślnej konfiguracji usługa PostgreSQL jest dostępna w sieci na porcie TCP 5432.

SPIP przed wersją 4.4.9 umożliwia niebezpieczną deserializację w obszarze publicznym poprzez filtr table_valeur i iterator DATA, które akceptują zserializowane dane. Atakujący, który może umieścić złośliwą zawartość zserializowaną, może wywołać instancjonowanie dowolnych obiektów i potencjalnie osiągnąć wykonanie kodu.

Podatność SQL Injection w Delinea Cloud Suite przed wersją 25.2 HF1 pozwala na wstrzyknięcie argumentów. Problem dotyczy niewłaściwej neutralizacji specjalnych elementów w poleceniu SQL.

W QEMU wykryto usterkę, w której specjalnie spreparowany obraz VMDK może wywołać odczyt poza dozwolonym zakresem pamięci. Może to prowadzić do wycieku 12 bajtów wrażliwych informacji lub do odmowy usługi (DoS).

Podatność w Hyland Alfresco Transformation Service umożliwia nieuwierzytelnionym atakującym zdalne wykonanie kodu poprzez wstrzyknięcie argumentów w funkcji przetwarzania dokumentów.

Podatność w Hyland Alfresco Transformation Service umożliwia nieuwierzytelnionym atakującym przeprowadzenie ataku typu Server-Side Request Forgery (SSRF) poprzez funkcję przetwarzania dokumentów.

Podatność w Hyland Alfresco Transformation Service umożliwia nieuwierzytelnionym atakującym odczyt dowolnych plików oraz fałszowanie żądań po stronie serwera (SSRF) poprzez absolutną ścieżkę traversal.

Wtyczka Product Table and List Builder dla WooCommerce Lite w WordPressie jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr 'search' we wszystkich wersjach do 4.6.2 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Hyland Alfresco umożliwia nieautoryzowanym atakującym odczyt dowolnych plików z chronionych katalogów (takich jak WEB-INF) za pośrednictwem punktu końcowego '/share/page/resource/', co prowadzi do ujawnienia wrażliwych plików konfiguracyjnych.

SDK Semantic Kernel firmy Microsoft, w wersjach przed 1.39.4, ma podatność na zdalne wykonanie kodu w funkcjonalności filtra `InMemoryVectorStore`. Problem został naprawiony w wersji `python-1.39.4`.

Wings to kontrolny panel serwera dla Pterodactyl, otwartoźródłowego panelu zarządzania serwerami gier. W wersjach przed 1.12.1 brak weryfikacji autoryzacji w kilku kontrolerach pozwala użytkownikom z dostępem do tokena sekretnego węzła na pobieranie informacji o dowolnym serwerze w instancji Pterodactyl, nawet jeśli serwer jest powiązany z innym węzłem.

strongMan to interfejs zarządzania dla strongSwan, opartego na IPsec VPN. Problem polega na tym, że silnik szyfrowania używał tego samego strumienia klucza do szyfrowania różnych pól w bazie danych, co umożliwia atakującemu odzyskanie zaszyfrowanych danych, w tym prywatnych kluczy i sekretów EAP.

Podatność w Kata Containers przed wersją 3.27.0 z Cloud Hypervisor pozwala użytkownikowi kontenera na modyfikację systemu plików maszyny wirtualnej gościa, co umożliwia wykonanie dowolnego kodu jako root w tej maszynie wirtualnej. Problem nie wpływa na bezpieczeństwo hosta ani innych kontenerów/maszyn wirtualnych na tym samym hoście, ale w przypadku arm64 z QEMU brak wsparcia dla NVDIMM tylko do odczytu może pozwolić na zapis do pliku obrazu.

Wtyczka wpForo Forum dla WordPressa jest podatna na atak typu SQL Injection opartego na czasie poprzez parametr 'wpfob' we wszystkich wersjach do i włącznie z 2.4.14. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Podatność Open Redirect w funkcji RedirectSlashes biblioteki go-chi/chi w wersji 5.2.2 i nowszych umożliwia zdalnym atakującym przekierowanie ofiar na złośliwe strony przy użyciu domeny legalnej witryny.

Podatność SSRF i dowolnego odczytu plików w komponencie AppSheet Core w Google AppSheet przed 2025-11-23. Uwierzytelniony zdalny atakujący może odczytywać wrażliwe pliki lokalne i uzyskiwać dostęp do wewnętrznych zasobów sieciowych poprzez spreparowane żądania do klastra produkcyjnego.

Biblioteka jsPDF przed wersją 4.2.0 zawiera podatność umożliwiającą wstrzyknięcie dowolnych obiektów PDF, w tym akcji JavaScript, poprzez kontrolę właściwości i metod modułu Acroform. Atak może zostać wykonany, gdy ofiara najedzie kursorem na opcję radio.

CVE zostało odrzucone lub wycofane przez organizację numerującą CVE. Brak danych o podatności, ponieważ identyfikator nie został zatwierdzony.

CVE zostało odrzucone lub wycofane przez organizację numerującą CVE. Brak danych o podatności, ponieważ identyfikator nie został zatwierdzony.

CVE zostało odrzucone lub wycofane przez organizację numerującą CVE. Brak danych o podatności, ponieważ identyfikator nie został zatwierdzony.