Katalog podatności CVE

Wtyczka AWS w OpenBao generuje poświadczenia dostępu AWS na podstawie polityk IAM. Przed wersją 0.1.1 wtyczka AWS jest podatna na podszywanie się pod role IAM między kontami w metodzie autoryzacji AWS. Podatność pozwala roli IAM z niezaufanego konta AWS na uwierzytelnienie poprzez podszycie się pod rolę o tej samej nazwie w zaufanym koncie, co prowadzi do nieautoryzowanego dostępu. Wpływa to na wszystkich użytkowników wtyczki auth-aws działających w środowisku wielokontowym AWS, gdzie nazwy ról IAM mogą nie być unikalne między kontami. Podatność została załatana w wersji 0.1.1 wtyczki auth-aws. Obejściem problemu jest zagwarantowanie unikalności nazw ról IAM we wszystkich kontach AWS, które mogą potencjalnie współdziałać ze środowiskiem OpenBao, oraz audyt pod kątem zduplikowanych ról IAM.

W podatności CVE-2025-61136 występuje luka w komponentach resetowania hasła w axewater sharewarez v2.4.3, która pozwala zdalnym atakującym na przeprowadzenie ataku typu password reset poisoning oraz przejęcie konta poprzez manipulację nagłówkiem Host. Problem występuje, gdy Flask generuje linki resetujące hasło bez ustalonej wartości SERVER_NAME.

W podatności CVE-2025-61132 występuje luka w komponentach resetowania hasła w levlaz braindump v0.4.14, która pozwala zdalnym atakującym na przeprowadzenie ataku typu password reset poisoning oraz przejęcie konta poprzez manipulację nagłówkiem Host. Problem występuje, gdy Flask generuje linki do resetowania haseł bez ustalonej wartości SERVER_NAME.

Kamery IP Vilar VS-IPC1002 są podatne na ataki typu Denial-of-Service (DoS). Nieuwierzytelniony atakujący w tej samej sieci lokalnej może wysłać spreparowane żądanie do punktu końcowego /cgi-bin/action i spowodować całkowitą nieodpowiedzialność urządzenia.

Kamery IP Vilar VS-IPC1002 są podatne na odbity XSS, ponieważ parametry w żądaniach GET wysyłanych do endpointu /cgi-bin/action nie są prawidłowo sanityzowane. Umożliwia to atak na zalogowanych użytkowników administracyjnych. Producent nie odpowiedział w żaden sposób; testowano tylko wersję 1.1.0.18, inne wersje mogą być również podatne.

Wtyczka Beaver Builder (Starter Version) dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'auto_play' we wszystkich wersjach do 2.9.2.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka RSS Aggregator by Feedzy dla WordPressa jest podatna na Server-Side Request Forgery we wszystkich wersjach do 5.1.0 włącznie, poprzez funkcję 'feedzy_sanitize_feeds'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej, wykonywanie żądań sieciowych do dowolnych lokalizacji pochodzących z aplikacji internetowej, co może być wykorzystane do odpytywania informacji z wewnętrznych usług.

Podatność CVE-2025-11023 dotyczy oprogramowania AcBakImzala w wersjach przed 5.1.4, gdzie występuje możliwość lokalnego włączenia pliku PHP z niezaufanego źródła. Problem ten wynika z niewłaściwego zarządzania nazwami plików w instrukcjach include/require.

Wtyczka MxChat – AI Chatbot for WordPress w wersjach do 2.4.6 włącznie jest podatna na ślepą podatność Server-Side Request Forgery (SSRF) z powodu niewystarczającej walidacji adresów URL dostarczanych przez użytkownika w funkcji przetwarzania PDF. Nieuwierzytelniony atakujący może zmusić serwer WordPress do wykonania żądań HTTP do dowolnych miejsc docelowych poprzez akcję AJAX 'mxchat_handle_chat_request'.

W MOLGENIS EMX2 v11.14.0 wykryto podatność na otwarte przekierowanie. Atakujący może utworzyć złośliwy URL z manipulowanym parametrem przekierowania, prowadząc użytkowników do stron phishingowych lub innych złośliwych miejsc.

W systemie TESI Gandia Integra Total w wersji 4.4.2236.1 występuje podatność na Path Traversal. Uwierzytelniony atakujący może pobrać plik ZIP zawierający pliki z serwera, w tym z katalogów nadrzędnych, wykorzystując parametr "direstudio" w skrypcie comprimir.php.

Energy CRM v2025 firmy Status Tracker Ltd zawiera podatność typu Stored Cross-Site Scripting (XSS) wynikającą z braku właściwej walidacji danych wejściowych użytkownika poprzez wysłanie żądania POST do '/crm/create_job_submit.php' z parametrem 'JobCreatedBy'. Podatność może pozwolić zdalnemu użytkownikowi na wysłanie specjalnie spreparowanego zapytania do uwierzytelnionego użytkownika i kradzież szczegółów sesji cookie.

QuickCMS jest podatny na wiele podatności Stored XSS w edytorze suwaków (sliders-form). Złośliwy atakujący z uprawnieniami administratora może wstrzyknąć dowolny kod HTML i JavaScript na stronę, który będzie renderowany i wykonywany na każdej stronie. Domyślnie administrator nie może dodawać JavaScriptu do strony.

QuickCMS jest podatny na wiele podatności Stored XSS w edytorze stron (pages-form). Złośliwy atakujący z uprawnieniami administratora może wstrzyknąć dowolny kod HTML i JavaScript na stronę, który będzie renderowany i wykonywany podczas odwiedzania edytowanej strony. Domyślnie administrator nie może dodawać JavaScriptu do strony.

W bibliotece libsoup, używanej przez aplikacje GNOME i WebKit do obsługi HTTP/2, wykryto podatność w obsłudze asynchronicznej kolejki komunikatów. Przy określonym czasie przerywania operacji sieciowych dochodzi do podwójnego zwolnienia elementu kolejki z powodu braku synchronizacji stanu, co prowadzi do użycia po zwolnieniu (use-after-free). Atakujący może zdalnie wywołać tę podatność poprzez odpowiednie sekwencje HTTP/2, powodując awarię aplikacji.

Podatność CVE-2025-10914 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie OBS (System Informacji o Sprawach Studenckich) firmy Proliz Software Ltd. Co. Umożliwia to ataki typu Reflected XSS.

W podatności CVE-2025-10727 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu AcBakImzala firmy ArkSigner Software and Hardware Inc., co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji AcBakImzala przed 5.1.4.

Slack Nebula w wersjach przed 1.9.7 nieprawidłowo obsługuje CIDR w niektórych konfiguracjach, co powoduje akceptowanie dowolnych źródłowych adresów IP w sieci Nebula. Może to pozwolić na nieautoryzowany dostęp do sieci.

W serwerze Command Centre Server występuje nieobsłużony wyjątek (CWE-248), który pozwala upoważnionemu i uprzywilejowanemu operatorowi na celowe spowodowanie awarii serwera. Podatność dotyczy wersji: 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7), 9.00 przed vEL9.00.3831 (MR8) oraz wszystkich wersji 8.90 i wcześniejszych.

W integracji Gallagher Morpho występuje podatność polegająca na przechowywaniu wrażliwych informacji w postaci zwykłego tekstu (CWE-312). Uwierzytelniony użytkownik z dostępem do Command Centre Server może wyeksportować konkretny klucz podpisujący podczas jego używania, co pozwala na wdrożenie naruszonego lub podrobionego urządzenia na tym obiekcie. Problem dotyczy Command Centre Server w wersjach 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7), 9.00 przed vEL9.00.3831 (MR8) oraz wszystkich wersji 8.90 i wcześniejszych.