Katalog podatności CVE

W Dify do wersji 1.5.1 w pliku docker-compose.yaml znajdują się domyślne dane uwierzytelniające do bazy PostgreSQL (nazwa użytkownika i hasło). Producent informuje, że od wersji 1.0.1 PostgreSQL nie jest domyślnie wystawiony na TCP porcie 5432.

Podatność Authorization Bypass Through User-Controlled Key w RadiusTheme Radius Blocks do wersji 2.2.1 włącznie, umożliwiająca wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

Podatność CVE-2025-64236 w AmentoTech Tuturn umożliwia obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten dotyczy wersji Tuturn przed 3.6.

Podatność CVE-2025-14896 wynika z niewystarczającego oczyszczania danych w funkcji `convert()` w Vega, gdy włączony jest tryb `safeMode`, a zmienna spec jest tablicą. Atakujący może stworzyć złośliwą specyfikację diagramu Vega, co pozwala na wysyłanie żądań do dowolnego URL, w tym lokalnych ścieżek systemu plików.

W urządzeniu D-Link DIR-605 w wersji 202WWB03 wykryto podatność w nieznanej funkcji komponentu Firmware Update Service. Manipulacja danymi prowadzi do wstrzyknięcia poleceń, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; podatność dotyczy wyłącznie produktów nieobsługiwanych już przez producenta.

Zidentyfikowano słabość w urządzeniu Tenda WH450 w wersji 1.0.0.18, która dotyczy nieznanej funkcji pliku /goform/onSSIDChange w komponencie obsługi żądań HTTP. Manipulacja argumentem ssid_index prowadzi do przepełnienia bufora na stosie.

ImageMagick przed wersją 7.1.1-14 ulega awarii podczas przetwarzania specjalnie spreparowanego pliku TIFF. Wersja 7.1.1-14 naprawia ten problem.

Tina to system zarządzania treścią bez interfejsu graficznego. W wersjach tinacms przed 3.1.1, pakiet gray-matter był używany w sposób niebezpieczny, co pozwalało atakującym, którzy mogli kontrolować treść przetwarzanych plików markdown, na wykonywanie dowolnego kodu.

Arduino IDE przed wersją 2.3.7 na macOS był instalowany z uprawnieniami do zapisu dla wszystkich użytkowników na wrażliwych komponentach aplikacji, co pozwalało lokalnym użytkownikom na zastępowanie legalnych plików złośliwym kodem. Po uruchomieniu aplikacji przez innego użytkownika, złośliwy kod był wykonywany z jego uprawnieniami, co umożliwiało eskalację uprawnień i nieautoryzowany dostęp do wrażliwych danych.

Rekord CVE-2025-63391 został wycofany przez CNA po dalszym dochodzeniu, które wykazało, że nie stanowi on problemu bezpieczeństwa. Nie należy używać tego rekordu.

W AnythingLLM v1.8.5 wykryto podatność polegającą na obejściu uwierzytelnienia w punkcie końcowym /api/workspaces. Brak odpowiednich kontroli uwierzytelniania umożliwia nieuwierzytelnionym zdalnym atakującym enumerację i pobieranie szczegółowych informacji o wszystkich skonfigurowanych przestrzeniach roboczych, w tym identyfikatorach, konfiguracjach modeli AI, promptach systemowych, parametrach operacyjnych i ustawieniach wyszukiwania wektorowego.

Krytyczna podatność polegająca na obejściu uwierzytelniania w API platformy Ollama w wersjach do v0.12.3 włącznie. Wiele endpointów API jest dostępnych bez wymaganego uwierzytelnienia, co umożliwia zdalnym atakującym nieautoryzowane operacje zarządzania modelami.

Podatność polegająca na błędnej konfiguracji CORS w Dify v1.9.1 w endpointcie /console/api/system-features. Endpoint odzwierciedla dowolne nagłówki Origin i ustawia Access-Control-Allow-Credentials: true, co pozwala zewnętrznym domenom na uwierzytelnione żądania międzyorigin. Uwaga: dostawca kwestionuje tę podatność, argumentując, że żądania z poświadczeniami nie dają dodatkowego dostępu w porównaniu z żądaniami nieuwierzytelnionymi.

W Dify w wersji 1.9.1 występuje podatność związana z błędną konfiguracją CORS w punkcie końcowym /console/api/setup. Polityka CORS jest niebezpieczna, ponieważ odzwierciedla dowolny nagłówek Origin i umożliwia ustawienie Access-Control-Allow-Credentials: true, co pozwala na autoryzowane żądania z dowolnych zewnętrznych domen.

W urządzeniu Tenda WH450 w wersji 1.0.0.18 odkryto lukę bezpieczeństwa, która dotyczy nieznanej funkcji pliku /goform/wirelessRestart w komponencie obsługi żądań HTTP. Manipulacja argumentem GO prowadzi do przepełnienia bufora na stosie.

Zidentyfikowano podatność w systemie zarządzania dostawcami Campcodes w wersji 1.0. Problem dotyczy nieznanej funkcji pliku /admin/add_retailer.php, gdzie manipulacja argumentem cmbAreaCode prowadzi do wstrzykiwania SQL.

Zohocorp ManageEngine Applications Manager w wersjach 177400 i poniżej jest podatny na podatność Stored Cross-Site Scripting w widoku NOC. Podatność może pozwolić atakującemu na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce ofiary.

Podatność związana z użyciem twardo zakodowanych poświadczeń w SoliClub firmy Utarit Informatics Services Inc. umożliwia nadużycie uwierzytelnienia. Problem dotyczy wersji SoliClub przed 5.3.7.

W SoliClub od Utarit Informatics Services Inc. występuje luka związana z brakiem autoryzacji, która umożliwia nadużycie uprawnień. Problem dotyczy wersji przed 5.3.7.

W jądrze Linux w schedulerze sieciowym sch_cake występuje błąd w funkcji cake_drop, który prowadzi do nieprawidłowego zmniejszenia licznika qlen. Może to spowodować niespójność w hierarchii qdisc i prowadzić do dereferencji NULL.