Katalog podatności CVE

Podatność CVE-2025-0645 dotyczy oprogramowania Pyxis Signage, które pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten wynika z niewłaściwego ograniczenia funkcjonalności przez listy kontroli dostępu (ACL).

W podatności CVE-2025-0643 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Pyxis Signage, co pozwala na ataki typu Stored XSS. Problem ten dotyczy oprogramowania do 31 stycznia 2025 roku.

W systemie zarządzania klubem sportowym freeprojectscodes w wersji 1.0 wykryto podatność. Manipulacja argumentem login_id w pliku /dashboard/admin/change_s_pwd.php prowadzi do wstrzyknięcia SQL, co może być zrealizowane zdalnie.

W systemie zarządzania zasobami ludzkimi itsourcecode w wersji 1.0 wykryto podatność, która umożliwia atak SQL injection poprzez manipulację argumentem noticeDesc w pliku /src/store/NoticeStore.php. Atak może być przeprowadzony zdalnie.

W systemie zarządzania zasobami ludzkimi itsourcecode w wersji 1.0 zidentyfikowano słabość, która dotyczy nieznanego przetwarzania pliku /src/store/EventStore.php. Manipulacja argumentem eventSubject prowadzi do podatności na atak typu SQL injection.

Wykryto podatność w sklepie internetowym Campcodes Retro Basketball Shoes w wersji 1.0. Problem dotyczy nieznanej funkcji w pliku /admin/receipt.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem tid.

OpenSTAManager to oprogramowanie open source do zarządzania wsparciem technicznym i fakturowania. W wersjach przed 2.9.5 występuje podatność na wstrzykiwanie SQL w API, która pozwala każdemu użytkownikowi, niezależnie od poziomu uprawnień, na wykonywanie dowolnych zapytań SQL.

Urządzenie QVidium Opera11 (firmware 2.9.0-Ax4x-opera11) jest podatne na zdalne wykonywanie kodu (RCE) z powodu nieprawidłowej walidacji danych wejściowych w punkcie końcowym /cgi-bin/net_ping.cgi. Atakujący może wysłać specjalnie spreparowane żądanie GET z złośliwym parametrem, aby wstrzyknąć dowolne polecenia, które są wykonywane z uprawnieniami root.

Homarr to otwartoźródłowy pulpit nawigacyjny. Przed wersją 1.43.3 istniała podatność na przechowywane XSS, która pozwalała na wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika, przy minimalnej lub zerowej interakcji ze strony użytkownika, z powodu renderowania złośliwego pliku SVG.

Claude Code przed wersją 1.0.39, gdy działa na maszynie z Yarn 3.0 lub nowszym, może zostać oszukany do wykonania kodu zawartego w projekcie poprzez wtyczki Yarn, zanim użytkownik zaakceptuje okno zaufania przy starcie. Wymaga to uruchomienia Claude Code w niezaufanym katalogu i używania Yarn 3.0+.

Lookyloo przed wersją 1.35.1 ma potencjalną podatność na cross-site scripting (XSS) na stronie indeksu i drzewa. Problem został naprawiony w wersji 1.35.1.

Rallly przed wersją 4.5.4 ma podatność IDOR w funkcji finalizacji ankiety. Każdy uwierzytelniony użytkownik może sfinalizować ankietę, której nie jest właścicielem, manipulując parametrem pollId w żądaniu, co pozwala na nieautoryzowaną finalizację i konwersję ankiet na wydarzenia.

Urządzenie Newtec Celox UHD (modele CELOXA504, CELOXA820) z firmware celox-21.6.13 jest podatne na obejście uwierzytelniania. Atakujący może zmodyfikować przechwycone odpowiedzi z punktu końcowego /celoxservice, wstrzykując sfałszowaną odpowiedź podczas logowania, aby uzyskać dostęp Superuser lub Operator bez ważnych poświadczeń.

Produkt R.V.R Elettronica TEX (firmware TEXL-000400, Web GUI TLAN-000400) jest podatny na złamanie kontroli dostępu z powodu nieprawidłowych kontroli uwierzytelniania na punkcie końcowym /_Passwd.html. Atakujący może wysłać nieuwierzytelnione żądanie POST, aby zmienić hasła Admin, Operator i User, co prowadzi do całkowitej kompromitacji systemu.

W interfejsie webowym przełącznika Dasan Switch DS2924 (firmware 1.01.18 i 1.02.00) odkryto obejście uwierzytelniania, które pozwala atakującym uzyskać podwyższone uprawnienia poprzez przechowywanie spreparowanych ciasteczek w przeglądarce.

W urządzeniach bridgetech, takich jak VB220, VB120, VB330, VB440 oraz NOMAD, odkryto problem w wersjach oprogramowania 6.5.0-9, który pozwala atakującym na uzyskanie wrażliwych informacji, w tym haseł administratorów, poprzez punkt końcowy /probe/core/setup/passwd. Producent nie zgadza się z tym, że wersje 6.5.0-9 są podatne, twierdząc, że dotyczy to wersji 5.6.0-3 i wcześniejszych, a wersje 5.6.0-4 i nowsze są naprawione.

Twonky Server 8.5.2 na Linux i Windows jest podatny na wadę kontroli dostępu. Nieuwierzytelniony atakujący może ominąć kontrolę uwierzytelniania API usługi webowej, aby wyciec plik dziennika i odczytać nazwę użytkownika administratora oraz zaszyfrowane hasło.

Podatność w eGovFramework/egovframe-common-components do wersji 4.3.1 włącznie dotyczy funkcji przesyłania obrazów edytora WWW, która używa symetrycznego szyfrowania do ochrony parametrów URL, ale udostępnia wyrocznię szyfrującą. Pozwala to atakującemu na generowanie prawidłowego szyfrogramu dla wybranych wartości, co umożliwia ominięcie kontroli dostępu i pobranie dowolnych przechowywanych plików.

eGovFrame Common Components w wersjach do 4.3.1 zawiera nieuwierzytelnioną podatność na przesyłanie plików przez endpointy /utl/wed/insertImage.do i /utl/wed/insertImageCk.do. Atakujący może przesłać dowolną treść, a serwer przechowuje plik i zwraca URL do pobrania, co pozwala na wykorzystanie aplikacji jako hostingu plików.

Urządzenia AudioCodes Fax Server i Auto-Attendant IVR do wersji 2.6.23 włącznie udostępniają nieuwierzytelniony endpoint do przesyłania kopii zapasowych w interfejsie F2MAdmin. Skrypt tworzy katalog na podstawie konfiguracji i przenosi przesłany plik o nazwie kontrolowanej przez atakującego, bez uwierzytelniania i walidacji typu pliku. W domyślnych instalacjach Windows atakujący może przesłać pliki konfiguracyjne serwera, co umożliwia wykonanie dowolnych poleceń z uprawnieniami NT AUTHORITY\SYSTEM.