Katalog podatności CVE

Odtwarzacze BrightSign działające na systemie operacyjnym BrightSign OS serii 4 przed wersją 8.5.53.1 oraz serii 5 przed wersją 9.0.166 używają domyślnego hasła, które można odgadnąć znając informacje o urządzeniu. Najnowsza wersja rozwiązuje ten problem dla nowych instalacji.

Crawl4AI w wersjach przed 0.8.0 zawiera podatność na lokalne dołączanie plików w API Docker. Punkty końcowe /execute_js, /screenshot, /pdf i /html akceptują adresy URL z protokołem file://, co pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików z systemu plików serwera.

Crawl4AI w wersjach przed 0.8.0 zawiera podatność zdalnego wykonania kodu w API Docker. Punkt końcowy /crawl akceptuje parametr hooks zawierający kod Python, który jest wykonywany za pomocą exec(). Dozwolone wbudowane funkcje obejmowały __import__, co pozwala nieuwierzytelnionym atakującym na importowanie dowolnych modułów i wykonywanie poleceń systemowych.

Galaxy FDS Android SDK w wersji 3.0.8 i wcześniejszych wyłącza weryfikację nazwy hosta TLS, gdy HTTPS jest włączone (domyślna konfiguracja). SDK konfiguruje Apache HttpClient z SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER, który akceptuje każdy ważny certyfikat TLS, niezależnie od niezgodności nazwy hosta. Ponieważ HTTPS jest domyślnie włączone w FDSClientConfiguration, wszystkie aplikacje korzystające z SDK z domyślnymi ustawieniami są podatne.

Problem w wersji halo v.2.22.4 i wcześniejszych umożliwia zdalnemu atakującemu spowodowanie odmowy usługi poprzez wysłanie spreparowanego ładunku do publicznego punktu przesyłania komentarzy.

W funkcjonalności profilu użytkownika 'Moje szczegóły' w Ideagen Q-Pulse 7.1.0.32 stwierdzono podatność, która pozwala uwierzytelnionemu użytkownikowi na przeglądanie danych profilowych innych użytkowników poprzez modyfikację parametru HTTP objectKey w adresie URL strony 'Moje szczegóły'.

Podatność typu Cross Site Request Forgery w Dolibarr ERP & CRM w wersji 22.0.9 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez pole notatek w perms.php. Istnieją jednak kontrowersje dotyczące tej podatności, ponieważ niektórzy twierdzą, że wykorzystanie jej jest możliwe tylko wtedy, gdy nieuprzywilejowany użytkownik zna token użytkownika z uprawnieniami administratora.

Wtyczka FastDup – Najszybsza migracja i duplikator WordPressa jest podatna na nieautoryzowane tworzenie i pobieranie kopii zapasowych z powodu braku sprawdzenia uprawnień na punktach końcowych REST API we wszystkich wersjach do 2.7.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej tworzenie i pobieranie pełnych archiwów kopii zapasowych całej instalacji WordPressa, w tym eksportów bazy danych i plików konfiguracyjnych.

Podatność CVE-2025-14014 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w oprogramowaniu Smart Panel firmy NTN Information Processing Services. Problem ten pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL).

W oprogramowaniu układowym zarządzania energią AMD (PMFW) występuje niezamierzony proxy lub pośrednik, który może umożliwić atakującemu z uprawnieniami wysyłanie źle sformatowanych wiadomości do jednostki zarządzania systemem (SMU), co może prowadzić do wykonania dowolnego kodu.

W PostgreSQL w module pg_trgm wykryto przepełnienie bufora sterty, które może być wykorzystane przez użytkownika bazy danych poprzez spreparowany ciąg wejściowy. Atakujący ma ograniczoną kontrolę nad wzorcami bajtów, ale nie wykluczono możliwości eskalacji uprawnień. Podatność dotyczy wersji 18.0 i 18.1.

Brak walidacji długości znaków wielobajtowych w funkcjach manipulacji tekstem PostgreSQL umożliwia użytkownikowi bazy danych wykonanie spreparowanych zapytań prowadzących do przepełnienia bufora. Pozwala to na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych.

W bibliotece pgcrypto PostgreSQL wykryto przepełnienie bufora sterty, które umożliwia dostawcy szyfrogramu wykonanie dowolnego kodu jako użytkownik systemu uruchamiający bazę danych. Podatność dotyczy wersji przed PostgreSQL 18.2, 17.8, 16.12, 15.16 i 14.21.

Brak walidacji typu danych w funkcji estymatora selektywności rozszerzenia intarray PostgreSQL umożliwia twórcy obiektu wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający bazę danych. Podatność dotyczy wersji przed 18.2, 17.8, 16.12, 15.16 i 14.21.

Wtyczka Secure Copy Content Protection i Content Locking dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting poprzez nagłówek HTTP 'X-Forwarded-For' we wszystkich wersjach do 4.9.8 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Podatność CVE-2025-13004 dotyczy oprogramowania E-Commerce Package firmy Farktor Software E-Commerce Services Inc. i pozwala na obejście autoryzacji poprzez manipulację zmiennymi kontrolowanymi przez użytkownika.

Podatność CVE-2025-13002 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w pakiecie e-commerce Farktor Software. Umożliwia to ataki typu Cross-Site Scripting (XSS).

W podatności CVE-2025-10969 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w pakiecie E-Commerce firmy Farktor Software. Problem ten dotyczy wersji pakietu E-Commerce do dnia 27 listopada 2025 roku.

Wtyczka Customer Reviews dla WooCommerce w WordPressie jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'media[].href' we wszystkich wersjach do 5.97.0 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym (jeśli 'Włącz dla gości' jest aktywne) wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Zainfekowane urządzenia nie weryfikują certyfikatu serwera podczas łączenia z serwerem SolaX Cloud MQTTS hostowanym w Alibaba Cloud. To umożliwia atakującym w pozycji man-in-the-middle podszywanie się pod prawdziwy serwer MQTT i wydawanie dowolnych poleceń do urządzeń.