Katalog podatności CVE

LangChain, framework do budowania agentów i aplikacji opartych na LLM, przed wersjami 0.3.81 i 1.2.5 zawiera podatność na iniekcję serializacji w funkcjach dumps() i dumpd(). Funkcje te nie escapują słowników z kluczami 'lc' podczas serializacji dowolnych słowników. Klucz 'lc' jest używany wewnętrznie przez LangChain do oznaczania serializowanych obiektów. Gdy dane kontrolowane przez użytkownika zawierają tę strukturę klucza, są traktowane jako prawowity obiekt LangChain podczas deserializacji, a nie jako zwykłe dane użytkownika.

Zidentyfikowano podatność w systemie Online Farm System 1.0, która dotyczy nieznanej funkcji w pliku /addProduct.php. Manipulacja argumentem Username prowadzi do wstrzykiwania SQL, co może być zainicjowane zdalnie.

W podatności CVE-2025-15048 zidentyfikowano problem w urządzeniu Tenda WH450 w wersji 1.0.0.18, dotyczący nieznanej funkcji pliku /goform/CheckTools w komponencie obsługi żądań HTTP. Manipulacja argumentem ipaddress może prowadzić do wstrzyknięcia poleceń.

Coolify to narzędzie typu open-source do zarządzania serwerami, aplikacjami i bazami danych. W wersjach przed 4.0.0-beta.451 występuje podatność na wstrzyknięcie poleceń, która pozwala użytkownikom z uprawnieniami do zarządzania aplikacjami/usługami na wykonywanie dowolnych poleceń jako root na zarządzanych serwerach.

Coolify to narzędzie open-source do zarządzania serwerami, aplikacjami i bazami danych. W wersjach przed 4.0.0-beta.451 występuje podatność na wstrzykiwanie poleceń, która pozwala użytkownikom z uprawnieniami do zarządzania aplikacjami/serwisami na wykonywanie dowolnych poleceń jako root na zarządzanych serwerach.

Coolify to narzędzie typu open-source do zarządzania serwerami, aplikacjami i bazami danych. Przed wersją 4.0.0-beta.451 występowała podatność na wstrzykiwanie poleceń w obsłudze nazw plików skryptów inicjalizacyjnych PostgreSQL, co pozwalało użytkownikom z uprawnieniami do zarządzania aplikacjami/usługami na wykonywanie dowolnych poleceń jako root na zarządzanych serwerach.

Coolify to narzędzie typu open-source do zarządzania serwerami, aplikacjami i bazami danych. W wersjach przed 4.0.0-beta.451 występuje podatność na wstrzyknięcie poleceń w funkcjonalności importu bazy danych, która pozwala użytkownikom z uprawnieniami do zarządzania aplikacjami/usługami na wykonywanie dowolnych poleceń jako root na zarządzanych serwerach.

Coolify to narzędzie typu open-source do zarządzania serwerami, aplikacjami i bazami danych. Przed wersją 4.0.0-beta.451 występowała podatność na wstrzyknięcie poleceń w funkcjonalności tworzenia kopii zapasowych baz danych, umożliwiająca użytkownikom z uprawnieniami do zarządzania aplikacjami/serwisami wykonywanie dowolnych poleceń jako root na zarządzanych serwerach.

W Tenda WH450 w wersji 1.0.0.18 odkryto podatność, która dotyczy nieznanej funkcji pliku /goform/PPTPDClient w komponencie obsługi żądań HTTP. Manipulacja argumentem Username prowadzi do przepełnienia bufora na stosie.

W urządzeniu Tenda WH450 w wersji 1.0.0.18 wykryto podatność polegającą na przepełnieniu bufora opartego na stosie w nieznanej funkcji pliku /goform/PPTPClient komponentu HTTP Request Handler. Manipulacja argumentem netmsk prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Podatność CVE-2025-14501 dotyczy serwera Sante PACS i związana jest z niewłaściwym przetwarzaniem nagłówka HTTP Content-Length, co prowadzi do dereferencji wskaźnika NULL. Atakujący może wykorzystać tę lukę do wywołania stanu odmowy usługi na zainfekowanych instalacjach, bez potrzeby uwierzytelnienia.

Podatność CVE-2025-14500 w IceWarp14 umożliwia zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z niewłaściwego przetwarzania nagłówka X-File-Operation, co pozwala na wykonanie systemowego wywołania bez odpowiedniej walidacji.

Podatność CVE-2025-14499 w IceWarp umożliwia zdalnym atakującym obejście uwierzytelnienia na dotkniętych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, ponieważ ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność w TradingView Desktop związana z niekontrolowaną ścieżką wyszukiwania w Electron umożliwia lokalnym atakującym eskalację uprawnień. Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach na docelowym systemie, aby móc wykorzystać tę podatność.

Podatność CVE-2025-13716 w Tencent MimicMotion dotyczy deserializacji niezaufanych danych, co prowadzi do zdalnego wykonania kodu. Wykorzystanie tej podatności wymaga interakcji użytkownika, który musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13715 w Tencent FaceDetection-DSFD umożliwia zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Wykorzystanie tej podatności wymaga interakcji użytkownika, który musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13714 dotyczy funkcji generate_model w Tencent MedicalNet, która umożliwia zdalnym atakującym wykonanie dowolnego kodu na podatnych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13713 w Tencent Hunyuan3D-1 dotyczy deserializacji niezaufanych danych, co pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13712 w Tencent HunyuanDiT umożliwia zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13710 w Tencent HunyuanVideo umożliwia zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Wykorzystanie tej podatności wymaga interakcji użytkownika, który musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.