Katalog podatności CVE

Wtyczka Popup box dla WordPressa (wersje do 5.5.4) jest podatna na Cross-Site Request Forgery (CSRF). Atakujący może zmusić zalogowanego użytkownika do wykonania niepożądanych akcji.

Wtyczka WordPress Contact Form CFDB7 w wersjach do 1.3.2 jest podatna na atak SQL injection przed uwierzytelnieniem, co prowadzi do niebezpiecznej deserializacji (PHP Object Injection). Problem wynika z niewystarczającej walidacji danych wejściowych w punktach końcowych wtyczki, co pozwala na wpływanie na zapytania backendowe w nieoczekiwany sposób.

Niedostateczna sanityzacja zawartości przesyłanych plików SVG w DNN (DotNetNuke) przed wersją 10.1.1. Jest to niekompletna poprawka dla CVE-2025-48378, która nie obejmuje wszystkich scenariuszy XSS.

DNN (dawniej DotNetNuke) przed wersją 10.1.1 pozwala niezalogowanym użytkownikom na przesyłanie plików w domyślnym środowisku edycji HTML. Otwiera to potencjalny wektor do innych problemów bezpieczeństwa i nie jest potrzebne w większości wdrożeń. Podatność została naprawiona w wersji 10.1.1.

FastMCP to standardowy framework do budowania aplikacji MCP. W wersjach przed 2.13.0 występuje podatność na wstrzyknięcie poleceń, która pozwala każdemu atakującemu, mogącemu wpłynąć na pole server_name w MCP, na wykonanie dowolnych poleceń systemowych na hostach z systemem Windows, które uruchamiają fastmcp install cursor. Podatność została naprawiona w wersji 2.13.0.

FastMCP przed wersją 2.13.0 ma podatność na odbity XSS w stronie wywołania zwrotnego klienta OAuth (oauth_callback.py), gdzie nieuciekane wartości kontrolowane przez użytkownika są wstawiane do generowanego HTML, co pozwala na wykonanie dowolnego JavaScriptu w kontekście serwera wywołania zwrotnego. Problem został naprawiony w wersji 2.13.0.

Sharp to framework do zarządzania treścią zbudowany dla Laravela jako pakiet. Przed wersją 9.11.1 odkryto podatność Cross-Site Scripting (XSS) w code16/sharp podczas renderowania treści za pomocą komponentu SharpShowTextField. W podatnych wersjach wyrażenia owinięte w {{ & }} były ewaluowane przez Vue, co pozwalało atakującym wstrzyknąć dowolny JavaScript lub HTML wykonujący się w przeglądarce podczas wyświetlania pola. Problem został naprawiony w wersji 9.11.1.

Rozszerzenie GitHub Workflow Updater dla VS Code przed wersją 0.0.7 przechowywało dostarczony token GitHub w postaci zwykłego tekstu w pliku konfiguracyjnym edytora na dysku, zamiast używać bezpiecznego API 'securestorage'. Atakujący z dostępem tylko do odczytu do katalogu domowego mógł odczytać ten token i użyć go do wykonania operacji.

Starlette to lekki framework/toolkit ASGI. W wersjach od 0.39.0 do 0.49.1, nieautoryzowany atakujący może wysłać spreparowany nagłówek HTTP Range, co prowadzi do przetwarzania o złożoności kwadratowej w logice parsowania/łączenia Range w FileResponse. To umożliwia wyczerpanie CPU na żądanie, co powoduje odmowę usługi dla punktów końcowych obsługujących pliki.

Taiga to platforma do zarządzania projektami typu open source. W wersjach 6.8.3 i wcześniejszych występuje podatność na zdalne wykonanie kodu w API Taiga z powodu niebezpiecznej deserializacji niezaufanych danych. Problem został naprawiony w wersji 6.9.0.

Aplikacja do zarządzania systemem HP ThinPro 8.1 nie weryfikowała prawdziwej tożsamości użytkownika. Firma HP wydała aktualizację HP ThinPro 8.1 SP8, która zawiera poprawki łagodzące potencjalne podatności.

Taiga, platforma open source do zarządzania projektami, w wersjach 6.8.3 i wcześniejszych jest podatna na czasową ślepą iniekcję SQL, umożliwiającą ujawnienie wrażliwych danych poprzez analizę czasu odpowiedzi. Problem został naprawiony w wersji 6.9.0.

W urządzeniu Dataphone A920 w wersji 2025.07.161103 odkryto problem związany z brakiem walidacji pakietów. Można stworzyć niestandardowy pakiet, który zawiera dowolne dane, co prowadzi do akceptacji pakietu przez urządzenie bez autoryzacji.

Astro to framework webowy z wbudowanym proxy obrazów. W wersjach od 5.13.4 do 5.13.10 walidacja domeny proxy obrazów może zostać ominięta przez użycie backslashy w parametrze href, co pozwala na wysyłanie żądań po stronie serwera do dowolnych adresów URL. Może to prowadzić do SSRF i potencjalnie XSS. Podatność wynika z niepełnej poprawki CVE-2025-58179. Naprawione w 5.13.10.

Sliver to framework do dowodzenia i kontroli, który używa niestandardowego stosu sieciowego Wireguard. W wersjach 1.5.43 i wcześniejszych oraz w wersji rozwojowej 1.6.0-dev, stos sieciowy nie ogranicza ruchu między klientami Wireguard. Umożliwia to klientom swobodną komunikację między sobą, co może pozwolić na wykorzystanie wyciekłych lub odzyskanych par kluczy do ataku na operatorów lub udostępnienie przekierowań portów innym implantom.

CodeChecker, narzędzie do analizy kodu, zawiera podatność na przepełnienie bufora w wewnętrznej bibliotece ldlogger, która jest wykonywana przez komendę 'log'. Problem dotyczy wersji do 6.26.1 włącznie.

W BESSystem BES Application Server do wersji 9.5.x wykryto podatność umożliwiającą nieautoryzowanym atakującym uzyskanie wrażliwych informacji poprzez opcję 'pre-resource' w pliku bes-web.xml.

Zhangyd-c OneBlog w wersji 2.3.9 i wcześniejszych był podatny na SSTI (Server-Side Template Injection) poprzez szablony FreeMarker.

W blog-vue-springboot występuje podatność na nieautoryzowaną modyfikację dowolnych artykułów. Atakujący może zmieniać treści artykułów bez odpowiednich uprawnień.

Wideodomofon Reolink Wi-Fi DB_566128M5MP_W przechowuje i przesyła dane uwierzytelniające DDNS w postaci niezaszyfrowanej w swoich skryptach konfiguracyjnych i aktualizacyjnych, co umożliwia atakującym przechwycenie lub wydobycie wrażliwych informacji.