Katalog podatności CVE

W Django wykryto podatność na iniekcję SQL w metodzie `.QuerySet.order_by()`. Problem występuje, gdy alias kolumny zawiera kropkę i jest używany z `FilteredRelation` przy rozwijaniu słownika. Luka dotyczy wersji 6.0 przed 6.0.2, 5.2 przed 5.2.11 oraz 4.2 przed 4.2.28; starsze, niewspierane serie również mogą być podatne.

W Django 6.0 przed 6.0.2, 5.2 przed 5.2.11 oraz 4.2 przed 4.2.28 wykryto podatność na wstrzykiwanie SQL w aliasach kolumn w `FilteredRelation`. Atakujący może wykorzystać kontrolowane znaki w słowniku przekazanym jako `**kwargs` do metod `annotate()`, `aggregate()`, `extra()`, `values()`, `values_list()` i `alias()`.

W wersjach Django 6.0 przed 6.0.2, 5.2 przed 5.2.11 oraz 4.2 przed 4.2.28 zidentyfikowano problem w metodach `django.utils.text.Truncator.chars()` i `Truncator.words()` (z `html=True`), a także w filtrach szablonów `truncatechars_html` i `truncatewords_html`. Atakujący zdalnie może spowodować potencjalne odmowy usługi poprzez wprowadzenie specjalnie przygotowanych danych zawierających dużą liczbę niepasujących znaczników końcowych HTML.

W Django 6.0 przed 6.0.2, 5.2 przed 5.2.11 oraz 4.2 przed 4.2.28 odkryto podatność na iniekcję SQL w operacjach rasterowych na polu RasterField (dostępnym tylko z PostGIS). Atakujący zdalnie może wstrzyknąć kod SQL poprzez parametr indeksu pasma (band index).

Podatność CVE-2025-5319 dotyczy systemu zarządzania efektywnością DIGITA, który jest podatny na atak typu SQL Injection. Problem polega na niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.

W wersjach Django 6.0 przed 6.0.2, 5.2 przed 5.2.11 oraz 4.2 przed 4.2.28 odkryto problem, który pozwala zdalnemu atakującemu na potencjalne wywołanie odmowy usługi poprzez spreparowane żądanie z wieloma zduplikowanymi nagłówkami. Starsze, nieobsługiwane wersje Django mogą być również narażone.

Adaware Web Companion w wersji 4.9.2159 zawiera podatność na niecytowaną ścieżkę usługi w WCAssistantService, co pozwala lokalnym atakującym na potencjalne wykonanie dowolnego kodu. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia złośliwych plików wykonywalnych, które będą uruchamiane z uprawnieniami LocalSystem podczas uruchamiania usługi.

VPN Unlimited w wersji 6.1 zawiera podatność na niecytowaną ścieżkę usługi, która pozwala lokalnym atakującym na wstrzykiwanie złośliwych plików wykonywalnych do ścieżki binarnej usługi. Atakujący mogą wykorzystać tę podatność, aby zastąpić plik wykonywalny usługi i uzyskać podwyższone uprawnienia systemowe.

Sync Breeze Enterprise w wersji 12.4.18 zawiera podatność na niecytowaną ścieżkę usługi, która pozwala lokalnym atakującym na wykonanie dowolnego kodu z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać tę podatność, umieszczając złośliwe pliki wykonywalne w określonych lokalizacjach systemu plików, aby przejąć proces uruchamiania usługi.

Disk Savvy Enterprise w wersji 12.3.18 zawiera podatność na niecytowaną ścieżkę usługi w swojej konfiguracji, co pozwala lokalnym atakującym na potencjalne wykonanie dowolnego kodu. Atakujący mogą wykorzystać tę niecytowaną ścieżkę w 'C:\Program Files\Disk Savvy Enterprise\bin\disksvs.exe' do wstrzykiwania złośliwych plików wykonywalnych oraz eskalacji uprawnień.

Disk Sorter Enterprise w wersji 12.4.16 zawiera podatność na niecytowaną ścieżkę usługi, która umożliwia lokalnym atakującym wykonanie dowolnego kodu z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia złośliwych plików wykonywalnych, które będą uruchamiane z uprawnieniami LocalSystem.

AnyDesk w wersji 5.4.0 zawiera podatność na niezacytowaną ścieżkę usługi w konfiguracji usługi Windows, co pozwala lokalnym atakującym na potencjalne wstrzykiwanie złośliwych plików wykonywalnych. Atakujący mogą wykorzystać tę podatność do umieszczania złośliwych plików w lokalizacjach wykonywalnych usługi, co może prowadzić do uzyskania podwyższonych uprawnień systemowych.

Podatność CVE-2025-7760 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w pakiecie Flora od Ofisimo. Umożliwia to atak XSS (Cross-site Scripting) poprzez nagłówki HTTP.

Podatność CVE-2025-6397 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Reflected XSS w oprogramowaniu Ankara Hosting Website Design. Problem ten dotyczy oprogramowania do 03022026.

Podatność na wstrzykiwanie SQL w platformie Buroweb w wersji 2505.0.12, w komponencie 'tablon'. Wiele parametrów w punkcie końcowym '/sta/CarpetaPublic/doEvent?APP_CODE=STA&PAGE_CODE=TABLON' nie poprawnie sanityzuje danych wejściowych użytkownika. Wykorzystanie tej podatności może pozwolić atakującemu na wykonywanie zapytań do bazy danych i uzyskanie dostępu do poufnych informacji.

W Moodle znaleziono lukę, która pozwala zdalnemu atakującemu na wykorzystanie braku odpowiedniego ograniczenia liczby prób w usłudze potwierdzania e-mail. Ta podatność umożliwia atakującym łatwiejsze enumerowanie lub zgadywanie danych logowania użytkowników, co ułatwia ataki typu brute-force na konta użytkowników.

W systemie Moodle znaleziono lukę, znaną jako Cross-Site Scripting (XSS), która występuje z powodu niewystarczających kontroli danych dostarczanych przez użytkowników w polach wyrażeń arytmetycznych edytora formuł. Zdalny atakujący może wstrzyknąć złośliwy kod do tych pól, który zostanie wykonany w przeglądarkach innych użytkowników.

W Moodle odkryto lukę, która pozwala na atak typu cross-site scripting (XSS) z powodu niewłaściwego oczyszczania odpowiedzi na zapytania AI. Atakujący mogą wstrzykiwać złośliwy kod HTML lub skrypty do stron internetowych.

W Moodle odkryto lukę, która pozwala zawieszonym użytkownikom na autoryzację przez dostawcę LTI. Problem wynika z tego, że mechanizmy autoryzacji LTI nie egzekwują statusu zawieszenia użytkownika, co umożliwia nieautoryzowany dostęp do systemu.

Podatność HTML injection w NICE Chat umożliwia atakującemu wstrzyknięcie i wyrenderowanie dowolnej treści HTML w transkrypcjach e-mail poprzez modyfikację parametrów 'firstName' i 'lastName' podczas sesji czatu. Wstrzyknięty HTML jest dołączany do treści wiadomości e-mail wysyłanej przez system.