Katalog podatności CVE

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Jest trudna do wykorzystania, wymaga logowania z wysokimi uprawnieniami do infrastruktury, ale może pozwolić na całkowite przejęcie VirtualBoxa. Atak może mieć wpływ na inne produkty (zmiana zakresu).

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Atakujący z wysokimi uprawnieniami i lokalnym dostępem do infrastruktury może łatwo wykorzystać tę lukę, co może prowadzić do przejęcia kontroli nad Oracle VM VirtualBox. Podatność ma charakter wykraczający poza sam produkt (zmiana zakresu), co oznacza, że atak może wpłynąć również na inne systemy.

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.14 i 7.2.4. Atakujący z wysokimi uprawnieniami i lokalnym dostępem do systemu może przejąć kontrolę nad VirtualBoxem, a wpływ może wykraczać poza sam produkt (zmiana zakresu).

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: Security) pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym na spowodowanie całkowitej odmowy usługi (DOS) poprzez wywołanie zawieszenia lub powtarzalnego crashu. Dotyczy to wersji Java SE 8u471, 11.0.29, 17.0.17, 21.0.9, 25.0.1 oraz odpowiednich wersji GraalVM.

Podatność w produkcie Oracle Agile PLM (komponent: Użytkownik i Grupa Użytkowników) w wersji 9.3.6. Atakujący bez uwierzytelnienia, wykorzystując sieć przez HTTP, może łatwo skompromitować system. Udany atak prowadzi do nieautoryzowanego dostępu do krytycznych danych lub pełnego dostępu do wszystkich danych Oracle Agile PLM.

Podatność w komponencie SQLcl serwera Oracle Database dotyczy wersji 23.4.0-23.26.0. Jest trudna do wykorzystania, ale pozwala nieuwierzytelnionemu atakującemu z lokalnym dostępem do infrastruktury, gdzie działa SQLcl, przejąć kontrolę nad tym narzędziem. Wymaga to jednak interakcji użytkownika innego niż atakujący.

Podatność w komponencie AWT i JavaFX produktów Oracle Java SE, Oracle GraalVM for JDK oraz Oracle GraalVM Enterprise Edition. Nieuwierzytelniony atakujący z dostępem sieciowym może wykorzystać lukę poprzez wiele protokołów, wymagając interakcji użytkownika. Udany atak może prowadzić do nieautoryzowanego tworzenia, usuwania lub modyfikacji krytycznych danych.

Podatność w produkcie Siebel CRM Deployment firmy Oracle (komponent: Server Infrastructure) dotyczy wersji 17.0-25.2. Atakujący bez uwierzytelnienia, wykorzystując sieć przez TLS, może łatwo doprowadzić do zawieszenia lub powtarzalnego awaryjnego zatrzymania (całkowity DoS) systemu.

Podatność CVE-2025-58744 dotyczy użycia domyślnych oraz wbudowanych poświadczeń w pliku C2SGlobalSettings.dll w aplikacji Milner ImageDirector Capture na systemie Windows. Umożliwia to odszyfrowanie plików archiwum dokumentów przy użyciu poświadczeń odszyfrowanych za pomocą wbudowanego klucza szyfrowania aplikacji.

Podatność CVE-2025-58743 dotyczy użycia słabego algorytmu kryptograficznego (DES) w klasie Password w bibliotece C2SConnections.dll w Milner ImageDirector Capture na systemie Windows. Umożliwia to przeprowadzenie ataku brute force w celu uzyskania danych uwierzytelniających do bazy danych.

Podatność CVE-2025-58741 dotyczy niewystarczająco chronionych poświadczeń w polu poświadczeń Milner ImageDirector Capture, co umożliwia dostęp do materiałów poświadczeniowych oraz bazy danych. Problem ten dotyczy wersji ImageDirector Capture od 7.0.9 do 7.6.3.25808.

Moduł imaplib w Pythonie umożliwia wstrzykiwanie dodatkowych komend poprzez znaki nowej linii w przekazanym przez użytkownika poleceniu. Łagodzenie polega na odrzucaniu komend zawierających znaki kontrolne.

Podatność w obsłudze błędów TLS w Node.js pozwala zdalnemu atakującemu na awarię lub wyczerpanie zasobów serwera TLS, gdy używane są wywołania zwrotne `pskCallback` lub `ALPNCallback`. Wyjątki synchroniczne zgłaszane podczas tych wywołań omijają standardowe ścieżki obsługi błędów TLS, co prowadzi do natychmiastowego zakończenia procesu lub cichego wycieku deskryptorów plików, a w konsekwencji do odmowy usługi.

Wada w modelu uprawnień Node.js pozwala na obejście ograniczeń sieciowych przez połączenia Unix Domain Socket (UDS), gdy włączona jest opcja `--permission`. Nawet bez `--allow-net`, dane kontrolowane przez atakującego (takie jak URL-e lub opcje socketPath) mogą łączyć się z dowolnymi lokalnymi gniazdami przez net, tls lub undici/fetch. To narusza zamierzoną granicę bezpieczeństwa modelu uprawnień i umożliwia dostęp do uprzywilejowanych usług lokalnych, co może prowadzić do eskalacji uprawnień, wycieku danych lub lokalnego wykonania kodu. Problem dotyczy wersji v25.

W bibliotece Pithikos websocket-server w wersji 0.6.4 wykryto problem z walidacją danych wejściowych w komponencie WebSocketServer._message_received. Umożliwia on zdalnemu atakującemu uzyskanie wrażliwych informacji lub wywołanie nieoczekiwanego zachowania serwera.

Podatność typu buffer over-read w metodzie PublicKey::verify() w bibliotece Binance Trust Wallet Core przed commit 5668c67. Umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez specjalnie spreparowane dane wejściowe.

W funkcji dacp_reply_playqueueedit_move w owntone-server występuje dereferencja wskaźnika NULL, co pozwala atakującym na spowodowanie awarii usługi (DoS) poprzez wysłanie odpowiednio skonstruowanego żądania DACP do serwera.

W funkcji parse_meta (src/httpd_daap.c) w serwerze owntone-server występuje dereferencja wskaźnika NULL, co pozwala atakującym na spowodowanie awarii usługi (DoS) poprzez wysłanie spreparowanego żądania DAAP do serwera.

W Node.js wykryto błąd w obsłudze błędów, przez który błędy „Maximum call stack size exceeded” stają się nieprzechwytywalne, gdy włączony jest `async_hooks.createHook()`. Zamiast trafić do `process.on('uncaughtException')`, proces kończy się, co czyni awarię nieodwracalną. Aplikacje korzystające z `AsyncLocalStorage` (wersje v22, v20) lub `async_hooks.createHook()` (wersje v24, v22, v20) stają się podatne na awarie typu denial-of-service wywołane głęboką rekurencją w określonych warunkach.