Katalog podatności CVE

API "create core" w Apache Solr w wersjach od 8.6 do 9.10.0 nie przeprowadza wystarczającej walidacji niektórych parametrów, co może pozwolić na sprawdzenie istnienia i odczyt ścieżek systemu plików, które powinny być zabronione przez ustawienie bezpieczeństwa "allowPaths". Te operacje tylko do odczytu mogą umożliwić użytkownikom tworzenie rdzeni z nieoczekiwanymi configsetami, jeśli są one dostępne w systemie plików. W systemach Windows skonfigurowanych do zezwalania na ścieżki UNC może to dodatkowo prowadzić do ujawnienia skrótów NTLM "user".

Wdrożenia Apache Solr w wersjach od 5.3.0 do 9.10.0, które polegają na "Rule Based Authorization Plugin", są podatne na nieautoryzowany dostęp do niektórych API Solr z powodu niewystarczająco ścisłej walidacji danych wejściowych w tych komponentach. Podatność dotyczy tylko wdrożeń spełniających określone kryteria, takie jak użycie wtyczki RuleBasedAuthorizationPlugin z wieloma rolami i listą uprawnień zawierającą określone reguły, bez reguły "all".

Instalator Agentów ServerView dla systemu Windows dostarczany przez Fsas Technologies Inc. może niebezpiecznie ładować biblioteki Dynamic Link. W momencie uruchomienia instalatora może zostać wykonany dowolny kod z uprawnieniami administratora.

W jądrze systemu Linux zidentyfikowano podatność, która prowadzi do dereferencji wskaźnika NULL podczas dezaktywacji nieaktywnych agregatów w funkcji qfq_reset. Problem występuje, gdy dwa obiekty qfq_class wskazują na ten sam leaf_qdisc, co może prowadzić do błędów w zarządzaniu kolejkami.

EVerest to oprogramowanie do ładowania pojazdów elektrycznych. W wersjach 2025.9.0 i wcześniejszych, atakujący może wyczerpać pamięć systemu operacyjnego, inicjując nieograniczoną liczbę połączeń TCP, co prowadzi do zakończenia działania modułu.

Wtyczka Academy LMS dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 3.5.0 włącznie. Problem wynika z niewłaściwej walidacji tożsamości użytkownika przed aktualizacją hasła oraz polegania wyłącznie na publicznie dostępnym nonce do autoryzacji.

W poleceniu `wrangler pages deploy` wykryto podatność na wstrzykiwanie poleceń (CWE-78). Problem występuje, ponieważ parametr `--commit-hash` jest przekazywany bezpośrednio do polecenia powłoki bez odpowiedniej walidacji lub sanityzacji, co pozwala atakującemu kontrolującemu `--commit-hash` na wykonanie dowolnych poleceń w systemie, na którym działa Wrangler. Podatność jest trudna do wykorzystania, ale dotyczy głównie środowisk CI/CD, gdzie parametr pochodzi z zewnętrznych, niezaufanych źródeł.

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Jest łatwa do wykorzystania przez atakującego z wysokimi uprawnieniami, który ma dostęp lokalny do infrastruktury, gdzie działa VirtualBox. Udany atak może prowadzić do przejęcia kontroli nad VirtualBox, a także może mieć wpływ na inne produkty (zmiana zakresu). Wynik CVSS 3.1 to 8.2.

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Jest łatwa do wykorzystania przez atakującego z wysokimi uprawnieniami, który ma dostęp lokalny do infrastruktury, gdzie działa VirtualBox. Udany atak może prowadzić do nieautoryzowanego tworzenia, usuwania lub modyfikacji danych, nieautoryzowanego dostępu do danych oraz częściowej odmowy usługi. Wynik CVSS 3.1 to 8.1.

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Atakujący z wysokimi uprawnieniami i lokalnym dostępem może przejąć kontrolę nad VirtualBoxem, a atak może wpływać na inne produkty (zmiana zakresu).

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Atakujący z wysokimi uprawnieniami i lokalnym dostępem może przejąć kontrolę nad VirtualBoxem, a atak może wpływać na inne produkty (zmiana zakresu).

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Nieuwierzytelniony atakujący z lokalnym dostępem może spowodować zawieszenie lub częste awarie (całkowity DoS) VirtualBoxa. Podatność dotyczy tylko maszyn wirtualnych z systemem Windows.

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Atakujący z wysokimi uprawnieniami i lokalnym dostępem może przejąć kontrolę nad VirtualBoxem, ale wykorzystanie jest trudne. Atak może wpływać na inne produkty (zmiana zakresu).

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Atakujący z wysokimi uprawnieniami i lokalnym dostępem może przejąć kontrolę nad VirtualBoxem, ale wykorzystanie jest trudne. Atak może wpływać na inne produkty (zmiana zakresu).

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Nieuwierzytelniony atakujący z dostępem do fizycznego segmentu sieci, do którego podłączony jest sprzęt z VirtualBoxem, może przejąć kontrolę nad VirtualBoxem. Wykorzystanie jest trudne.

Podatność w produkcie Oracle Business Intelligence Enterprise Edition (komponent Oracle Analytics Cloud) dotyczy wersji 7.6.0.0.0 i 8.2.0.0.0. Atakujący z niskimi uprawnieniami i lokalnym dostępem do infrastruktury może wykorzystać tę lukę do nieautoryzowanego tworzenia, usuwania lub modyfikacji danych, a także do uzyskania pełnego dostępu do danych.

Podatność w produkcie Oracle FLEXCUBE Investor Servicing, dotycząca systemu zarządzania bezpieczeństwem. Dotknięte wersje to 14.5.0.15.0, 14.7.0.8.0 oraz 14.8.0.1.0. Atakujący z niskimi uprawnieniami, mający dostęp do sieci przez HTTP, może łatwo wykorzystać tę podatność.

Podatność w produkcie Oracle Agile Product Lifecycle Management for Process (komponent: Supplier Portal) w wersji 6.2.4. Łatwo wykorzystywalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na przejęcie kontroli nad systemem. Udane ataki mogą prowadzić do całkowitego przejęcia Oracle Agile PLM for Process. CVSS 3.1 Base Score 9.8.

Podatność w produkcie Oracle Hospitality OPERA 5 (komponent Opera Servlet) pozwala nieuwierzytelnionemu atakującemu przez sieć (HTTP) na łatwe skompromitowanie systemu. Udane ataki mogą prowadzić do nieautoryzowanego dostępu do krytycznych danych lub pełnego dostępu do wszystkich danych OPERA 5, a także do nieautoryzowanej modyfikacji, wstawiania lub usuwania części danych oraz częściowej odmowy usługi.