Katalog podatności CVE

Podatność CVE-2025-13708 dotyczy funkcji _load_checkpoint w Tencent NeuralNLP-NeuralClassifier, która umożliwia zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13707 dotyczy deserializacji niezaufanych danych w funkcji model_resume w modelu Tencent HunyuanDiT, co pozwala zdalnym atakującym na wykonanie dowolnego kodu. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13706 w Tencent PatrickStar umożliwia zdalne wykonanie dowolnego kodu poprzez deserializację niezaufanych danych. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13703 w VIPRE Advanced Security pozwala lokalnym atakującym na eskalację uprawnień. Problem wynika z nieprawidłowych uprawnień na folderze w instalatorze produktu, co umożliwia wykonanie dowolnego kodu w kontekście SYSTEM.

Podatność CVE-2025-13700 dotyczy zdalnego wykonania kodu w aplikacji DreamFactory poprzez wstrzyknięcie polecenia w metodzie saveZipFile. Problem wynika z braku odpowiedniej walidacji ciągu dostarczonego przez użytkownika przed jego użyciem do wykonania wywołania systemowego.

Podatność w narzędziu mariadb-dump w MariaDB umożliwia zdalnym atakującym wykonanie dowolnego kodu na podatnych instalacjach. Problem wynika z niewłaściwej walidacji ścieżek dostarczanych przez użytkownika przed ich użyciem w operacjach na plikach.

Podatność w MSP360 Free Backup umożliwia lokalnym atakującym eskalację uprawnień na zainfekowanych instalacjach. Wymaga to wcześniejszego uzyskania możliwości wykonania kodu o niskich uprawnieniach oraz interakcji ze strony administratora.

Podatność CVE-2025-12491 w Senstar Symphony umożliwia zdalnym atakującym ujawnienie wrażliwych informacji na zainfekowanych instalacjach. Wykorzystanie tej podatności nie wymaga uwierzytelnienia.

W urządzeniu Tenda WH450 w wersji 1.0.0.18 wykryto podatność polegającą na przepełnieniu bufora opartego na stosie w nieznanej funkcji pliku /goform/Natlimit komponentu HTTP Request Handler. Manipulacja argumentem page powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W urządzeniu Tenda WH450 w wersji 1.0.0.18 wykryto podatność polegającą na przepełnieniu bufora opartego na stosie w nieznanej funkcji pliku /goform/NatStaticSetting. Manipulacja argumentem page powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publiczny i może być użyty.

Podatność CVE-2025-14931 w Hugging Face smolagents pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z niewłaściwej walidacji danych dostarczanych przez użytkownika podczas analizy danych pickle.

Podatność CVE-2025-14925 w Hugging Face Accelerate umożliwia zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-14922 w Hugging Face Diffusers CogView4 umożliwia zdalne wykonanie dowolnego kodu poprzez deserializację niezaufanych danych. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

W Keycloak odkryto lukę, która pozwala nieautoryzowanemu zdalnemu atakującemu na wywołanie ataku typu denial of service (DoS) poprzez wielokrotne inicjowanie żądań renegocjacji TLS 1.2. Może to prowadzić do wyczerpania zasobów CPU serwera, co skutkuje niedostępnością usługi.

W aplikacji PuneethReddyHC event-management 1.0 w pliku /Grocery/search_products_itname.php występuje podatność na iniekcję SQL z powodu nieprawidłowego przetwarzania danych wejściowych w parametrze POST sitem_name. Specjalnie spreparowane dane mogą zmienić logikę zapytania i ujawnić zawartość bazy danych. Eksploatacja może prowadzić do ujawnienia wrażliwych danych i przejęcia backendu.

Easy Anti-Cheat w wersji 4.0 firmy Epic Games zawiera podatność na niecytowaną ścieżkę usługi, która pozwala lokalnym użytkownikom bez uprawnień na wykonanie dowolnego kodu z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać konfigurację usługi, wprowadzając złośliwy kod w ścieżce głównej systemu, który zostanie uruchomiony z uprawnieniami LocalSystem podczas uruchamiania aplikacji.

Cadmium CMS w wersji 0.4.9 zawiera podatność umożliwiającą dowolne przesyłanie plików w tle w ścieżce /admin/content/filemanager/uploads.

NVIDIA Isaac Launchable zawiera podatność, która pozwala atakującemu na wykonanie kodu z niepotrzebnie podwyższonymi uprawnieniami. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, odmowy usługi, ujawnienia informacji i manipulacji danymi.

W Eclipse Cyclone DDS przed wersją 0.10.5 stwierdzono nieprawidłową weryfikację certyfikatu czasu, co umożliwia atakującym ominięcie kontroli certyfikatów i wykonanie poleceń z uprawnieniami systemowymi.

W bibliotece eProsima Fast-DDS w wersji 3.3 wykryto nieprawidłową walidację unieważniania biletów (ticket revocation), co prowadzi do niebezpiecznej komunikacji i połączeń.