Katalog podatności CVE

Podatność w produkcie MySQL Server firmy Oracle MySQL (komponent: Server: Optimizer). Dotyczy wersji 8.0.0-8.0.43, 8.4.0-8.4.6 oraz 9.0.0-9.4.0. Łatwo wykorzystywalna luka pozwala atakującemu z wysokimi uprawnieniami i dostępem sieciowym przez wiele protokołów na spowodowanie zawieszenia lub częstych, powtarzalnych awarii (całkowity DOS) serwera MySQL.

Podatność w Oracle Financial Services Analytical Applications Infrastructure (komponent: Platform) w wersjach 8.0.7.9, 8.0.8.7 i 8.1.2.5. Łatwo eksploatowalna luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na przejęcie kontroli nad systemem.

Podatność w produkcie Oracle Financial Services Analytical Applications Infrastructure (komponent: Platform). Dotknięte wersje to 8.0.7.9, 8.0.8.7 i 8.1.2.5. Łatwo wykorzystywalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na naruszenie Oracle Financial Services Analytical Applications Infrastructure. Ataki mogą znacząco wpłynąć na dodatkowe produkty (zmiana zakresu). Udane ataki mogą skutkować nieautoryzowanym dostępem do krytycznych danych lub pełnym dostępem do wszystkich danych dostępnych w Oracle Financial Services Analytical Applications Infrastructure. CVSS 3.1 Base Score 8.6 (wpływ na poufność).

Podatność w Oracle Financial Services Analytical Applications Infrastructure (komponent Platform) w wersjach 8.0.7.9, 8.0.8.7 i 8.1.2.5. Umożliwia atakującemu z niskimi uprawnieniami, posiadającemu dostęp sieciowy przez HTTP, nieautoryzowany dostęp do krytycznych danych lub pełny dostęp do wszystkich danych dostępnych w tym produkcie.

Podatność w produkcie Oracle Financial Services Analytical Applications Infrastructure (część Oracle Financial Services Applications) w komponencie Platform. Dotyczy wersji 8.0.7.9, 8.0.8.7 i 8.1.2.5. Atakujący bez uwierzytelnienia może przez HTTP, przy interakcji użytkownika, uzyskać nieautoryzowany dostęp do odczytu i modyfikacji danych.

Podatność w produkcie Oracle Financial Services Revenue Management and Billing (komponent: Security Management System) w wersjach 2.9.0.0.0–7.2.0.0.0. Atakujący z niskimi uprawnieniami i dostępem sieciowym przez HTTP może uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych w aplikacji.

Podatność w Oracle Financial Services Revenue Management and Billing (komponent: Security Management System) w wersjach 2.9.0.0.0–7.2.0.0.0. Umożliwia atakującemu z wysokimi uprawnieniami i dostępem sieciowym przez HTTP nieautoryzowany dostęp do krytycznych danych. CVSS 3.1 Base Score 4.9.

W produkcie OpenText Flipper w wersji 3.1.2 występuje luka typu path traversal wynikająca z zewnętrznej kontroli nazwy pliku lub ścieżki. Może ona pozwolić użytkownikowi na dostęp do plików hostowanych na serwerze.

Wtyczka Moodle GeniAI (local_geniai) w wersji 2.3.6 zawiera podatność typu cross-site scripting. Użytkownik z rolą Nauczyciela może przesłać plik PDF z osadzonym JavaScriptem, który następnie jest wyświetlany jako bezpośredni link HTML bez sanitizacji.

CloudEdge Cloud nie sanityzuje tematu MQTT, co pozwala atakującemu wykorzystać wildcard MQTT do subskrybowania tematu i odbierania wiadomości przeznaczonych dla innych użytkowników. W tych wiadomościach atakujący może uzyskać dane uwierzytelniające i klucze do połączenia z kamerami peer-to-peer.

Zimbra Collaboration (ZCS) przed wersją 10.1.12 jest podatna na atak SSRF z powodu konfiguracji proxy czatu.

WeGIA, otwartoźródłowy menedżer internetowy dla instytucji, zawiera podatność odbitego XSS w punkcie końcowym editar_info_pessoal.php przed wersją 3.5.1. Atakujący może wstrzyknąć złośliwe skrypty w parametr action.

WeGIA, otwartoźródłowy menedżer internetowy dla instytucji, przed wersją 3.5.1 zawiera podatność na odbity XSS w punkcie końcowym editar_info_pessoal.php. Luka umożliwia atakującym wstrzyknięcie złośliwych skryptów w parametr sql. Podatny punkt końcowy to GET /WeGIA/html/pessoa/editar_info_pessoal.php?sql=1. Problem został naprawiony w wersji 3.5.1.

Koa, framework dla Node.js, w wersjach 2.16.2 do przed 2.16.3 oraz 3.0.1 do przed 3.0.3, ma obejście poprawki CVE-2025-8129 dotyczącej funkcji przekierowania zwrotnego. Atakujący może manipulować nagłówkiem Referer, aby wymusić nawigację przeglądarki użytkownika do zewnętrznej, potencjalnie złośliwej strony.

Biblioteka astral-tokio-tar do odczytu/zapisu archiwów tar w asynchronicznym Rust zawiera podatność na analizę granic w wersjach przed 0.5.6. Umożliwia ona atakującym wprowadzenie dodatkowych wpisów archiwum poprzez wykorzystanie niespójnego przetwarzania nagłówków PAX/ustar.

W interfejsie zarządzania opartym na sieci web urządzenia NETLINK HG322G V1.0.00-231017 występuje niewłaściwa autoryzacja, która umożliwia zdalnemu, nieautoryzowanemu atakującemu eskalację uprawnień oraz zablokowanie dostępu do konta prawowitego administratora za pomocą odpowiednio skonstruowanych żądań HTTP.

Wtyczka Moodle OpenAI Chat Block w wersji 3.0.1 (2025021700) zawiera podatność IDOR z powodu niewystarczającej walidacji parametru blockId w /blocks/openai_chat/api/completion.php. Uwierzytelniony student może podszyć się pod blok innego użytkownika (np. administratora) i wysyłać zapytania wykonywane z konfiguracją tego bloku.

W aplikacji AutoBizLine com.mysecondline.app 1.2.91 wykryto lukę w mechanizmie weryfikacji, która umożliwia atakującym logowanie się jako inni użytkownicy i nieautoryzowany dostęp do ich danych osobowych.

GeographicLib w wersji 2.5 jest podatny na przepełnienie bufora w funkcji GeoConvert DMS::InternalDecode. Ta luka może prowadzić do nieautoryzowanego dostępu do pamięci.

Podatność typu DoS (odmowa usługi) o wysokiej wadze została wprowadzona w wersji 2.0 Confluence Data Center. Atakujący może spowodować niedostępność zasobu dla uprawnionych użytkowników poprzez czasowe lub trwałe zakłócenie usług hosta podłączonego do sieci. CVSS wynosi 8.3.