Katalog podatności CVE

W bibliotece GnuTLS wykryto podatność umożliwiającą atak DoS poprzez wysłanie specjalnie spreparowanych certyfikatów zawierających dużą liczbę ograniczeń nazw i alternatywnych nazw podmiotów (SAN). Atak prowadzi do nadmiernego zużycia procesora i pamięci.

Podatność CVE-2025-10465 dotyczy nieograniczonego przesyłania plików z niebezpiecznymi typami w aplikacji Sensaway, co pozwala na przesłanie powłoki sieciowej na serwerze WWW. Problem ten dotyczy wersji Sensaway do 2 września 2026 roku.

Podatność na niebezpieczne przechowywanie wrażliwych informacji w aplikacji Senseway firmy Birtech Information Technologies Industry and Trade Ltd. Co. umożliwia odzyskiwanie osadzonych danych wrażliwych. Problem ten dotyczy wersji Senseway do 09022026.

Podatność polegająca na wstawianiu wrażliwych informacji do wysyłanych danych w oprogramowaniu K12net firmy Atlas Educational Software Industry Ltd. Co. umożliwia manipulację kanałem komunikacji. Problem dotyczy k12net do wersji 26072025.

W module haseł firmy Xpoda Türkiye Information Technology Inc. występuje podatność na wstrzykiwanie SQL (SQL Injection) z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy modułu haseł do dnia 11022026.

Podatność CVE-2025-10463 dotyczy niewłaściwej autoryzacji w aplikacji Senseway firmy Birtech Information Technologies Industry and Trade Ltd. Co. Umożliwia ona nadużycie procesu uwierzytelniania.

W JetBrains Hub przed wersją 2025.3.119807 istniała podatność umożliwiająca obejście uwierzytelniania, co pozwalało na wykonywanie działań administracyjnych.

W PyCharm od JetBrains, przed wersją 2025.3.2, istniała możliwość wystąpienia ataku XSS opartego na DOM na stronie podglądu Jupyter.

Podatność w Apache Shiro pozwala na ominięcie uwierzytelnienia przez zmianę wielkości liter w nazwach plików statycznych. Jeśli pliki statyczne są serwowane z systemu plików niewrażliwego na wielkość liter (np. domyślny macOS), atakujący może uzyskać dostęp do plików, których filtry Shiro nie obejmują. Problem dotyczy wersji przed 2.0.7.

W projekcie itsourcecode News Portal w wersji 1.0 odkryto lukę, która dotyczy nieznanego kodu w pliku /admin/index.php komponentu logowania administratora. Manipulacja argumentem email prowadzi do wstrzykiwania SQL.

Podatność CVE-2025-7799 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w serwisie E-Taxpayer Accounting firmy Zirve Information Technologies Inc., co pozwala na ataki typu Reflected XSS.

C&Cm@il opracowany przez HGiga ma podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

C&Cm@il opracowany przez HGiga ma lukę związaną z brakiem uwierzytelnienia, co pozwala nieautoryzowanym zdalnym atakującym na odczyt i modyfikację treści wiadomości dowolnego użytkownika.

W systemie Online Reviewer System 1.0 wykryto podatność, która umożliwia atak typu SQL injection poprzez manipulację argumentem ID w pliku /system/system/students/assessments/pretest/take/index.php. Atak może być przeprowadzony zdalnie.

Dane uwierzytelniające użytkowników są przechowywane z użyciem szyfrowania AES‑ECB z twardo zakodowanym kluczem. Nieautoryzowany zdalny atakujący, który uzyska plik konfiguracyjny, może odszyfrować i odzyskać hasła oraz nazwy użytkowników, zwłaszcza w połączeniu z obejściem uwierzytelniania.

Zdalny atakujący bez uwierzytelnienia może obejść proces autoryzacji, wykorzystując niewystarczającą walidację URI oraz sekwencje przejścia ścieżki (np. /js/../cgi-bin/post.cgi), co pozwala na nieautoryzowany dostęp do chronionych punktów końcowych CGI oraz pobierania konfiguracji.

Nieprawidłowe zarządzanie długością podczas analizowania wielu pól cookie (w tym TRACKID) umożliwia nieautoryzowanemu zdalnemu atakującemu wysyłanie zbyt dużych wartości cookie, co prowadzi do przepełnienia bufora stosu. Może to skutkować awarią usługi oraz potencjalnym zdalnym wykonaniem kodu.

Podatność CVE-2026-22903 dotyczy zmodyfikowanego serwera lighttpd, który nie chroni przed zbyt długimi ciasteczkami SESSIONID. Atakujący zdalnie, bez uwierzytelnienia, może wysłać odpowiednio skonstruowane żądanie HTTP, co prowadzi do przepełnienia bufora stosu i awarii serwera.

W systemie Online Reviewer 1.0 odkryto lukę bezpieczeństwa w nieznanej funkcji pliku /login/index.php komponentu Logowanie. Manipulacja argumentem Nazwa użytkownika prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

Zidentyfikowano podatność w systemie Online Reviewer System 1.0, która dotyczy nieznanej funkcji w pliku /system/system/admins/assessments/pretest/btn_functions.php. Manipulacja argumentem difficulty_id prowadzi do wstrzyknięcia SQL.