Katalog podatności CVE

W usłudze zarządzania użytkownikami i uwierzytelnianiem MAS (Matrix Authentication Service) występuje błąd logiczny, który pozwala atakującemu z dostępem do uwierzytelnionej sesji MAS na wykonywanie wrażliwych operacji bez podawania aktualnego hasła. Dotyczy to wersji od 0.20.0 do 1.4.0, a problem został naprawiony w wersji 1.4.1.

W ClipBucket V5 w wersji 5.5.2 - #140 i wcześniejszych występuje podatność na ślepe wstrzyknięcie SQL w pliku /admin_area/login_as_user.php w obszarze administracyjnym. Wykorzystanie tej podatności wymaga uprawnień dostępu do obszaru administracyjnego.

W BitVisor występuje podatność na zapis poza granicami w emulacji urządzenia sieciowego VirtIO, która pozwala lokalnym atakującym na spowodowanie awarii hypervisora gospodarza poprzez spreparowany dostęp do przestrzeni konfiguracyjnej PCI. Wykorzystanie tej podatności może prowadzić do wykonania dowolnego kodu lub eskalacji uprawnień z gościa do hosta.

D-Link Nuclias Connect w wersjach firmware'u <= 1.3.1.4 zawiera podatność polegającą na rozbieżności odpowiedzi. Punkt końcowy 'Forgot Password' zwraca różne odpowiedzi JSON w zależności od tego, czy podany adres e-mail jest powiązany z istniejącym kontem. Ponieważ odpowiedzi różnią się wartością logiczną `data.exist`, nieuwierzytelniony zdalny atakujący może wyliczyć prawidłowe adresy e-mail/konta na serwerze. UWAGA: D-Link podaje, że poprawka jest w opracowaniu.

W oprogramowaniu D-Link Nuclias Connect w wersjach do 1.3.1.4 wykryto podatność polegającą na obserwowalnej różnicy w odpowiedziach. Endpoint 'Login' zwraca różne odpowiedzi JSON w zależności od tego, czy podana nazwa użytkownika istnieje. Nieuwierzytelniony atakujący może zdalnie enumerować prawidłowe nazwy użytkowników.

Oprogramowanie sprzętowe D-Link Nuclias Connect w wersjach do 1.3.1.4 zawiera podatność na trwały atak XSS z powodu nieprawidłowego oczyszczania pola 'Network' podczas edycji konfiguracji, tworzenia profilu i dodawania sieci. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript, który będzie wykonany w kontekście innych użytkowników przeglądających wpis profilu.

W Apeman ID71 218.53.203.117 znaleziono podatność. Nieznana funkcja w pliku /onvif/device_service komponentu ONVIF Service pozwala na manipulację prowadzącą do braku uwierzytelnienia. Atak można przeprowadzić zdalnie, a exploit został upubliczniony.

Agent ConnectWise Automate nie w pełni weryfikuje autentyczność plików pobieranych z serwera, takich jak aktualizacje, zależności i integracje. Stwarza to ryzyko, że atakujący w środku ścieżki (on-path) może przeprowadzić atak man-in-the-middle i podstawić złośliwe pliki zamiast legalnych, podszywając się pod legalny serwer. Ryzyko jest ograniczone, gdy wymuszane jest HTTPS i jest powiązane z CVE-2025-11492.

W agencie ConnectWise Automate komunikacja mogła być skonfigurowana do używania HTTP zamiast HTTPS. W takim przypadku atakujący z pozycją man-in-the-middle mógł przechwytywać, modyfikować lub odtwarzać ruch między agentem a serwerem. Poprawka w wersji Automate 2025.9 wymusza HTTPS dla całej komunikacji agenta.

OPEXUS FOIAXpress pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zresetowanie hasła administratora. Podatność została naprawiona w wersji 11.13.2.0.

MQTTX to desktopowy klient MQTT 5.0 i narzędzie do testowania MQTT. Podatność na Cross-Site Scripting (XSS) została wprowadzona w MQTTX v1.12.0 z powodu nieprawidłowego przetwarzania renderowania ładunku wiadomości MQTT. Złośliwe ładunki zawierające HTML lub JavaScript mogły być renderowane bezpośrednio w przeglądarce wiadomości MQTTX. Jeśli wykorzystane, mogło to pozwolić atakującym na wykonanie dowolnych skryptów w kontekście interfejsu aplikacji — na przykład próbę uzyskania dostępu do poświadczeń połączenia MQTT lub wywołanie niezamierzonych działań przez wstrzyknięcie skryptu. Podatność jest szczególnie istotna, gdy MQTTX jest używany z brokerami w niezaufanych lub wielodostępnych środowiskach, gdzie treść wiadomości nie może być w pełni kontrolowana. Podatność została naprawiona w wersji 1.12.1.

Envoy przed wersjami 1.36.1, 1.35.5, 1.34.9 i 1.33.10 może doświadczyć awarii puli połączeń TCP z powodu problemów z zarządzaniem przepływem (flow control). Dzieje się tak, gdy połączenie jest zamykane, a dane z upstreamu wciąż napływają, co prowadzi do wywołania nullptr w callbacku watermark bufora. Podatność dotyczy proxy TCP oraz przypadków mieszanego użycia HTTP 1 i 2 opartych na ALPN.

W module PrestaShop Checkout (wersje przed 4.4.1 i 5.0.5) występuje podatność umożliwiająca przejęcie docelowego konta handlowego PayPal z poziomu backoffice z powodu nieprawidłowego użycia funkcji PHP array_search(). Podatność została naprawiona w wersjach 4.4.1 i 5.0.5.

W PrestaShop Checkout w wersjach przed 4.4.1 i 5.0.5 brakuje walidacji wejścia w backoffice, co prowadzi do path traversal i ujawnienia dowolnych plików. Podatność została naprawiona w wersjach 4.4.1 i 5.0.5.

Moduł PrestaShop Checkout w wersjach od 1.3.0 do przed 4.4.1 i 5.0.5 ma brak walidacji w funkcji Express Checkout, co umożliwia ciche logowanie i przejęcie konta poprzez adres e-mail. Luka została naprawiona w wersjach 4.4.1 i 5.0.5. Nie istnieją znane obejścia.

Icinga 2 to system monitorowania open source. W wersjach od 2.10.0 do przed 2.15.1, 2.14.7 i 2.13.13, skrypt safe-reload (używany również podczas systemctl reload icinga2) oraz konfiguracja logrotate odczytują PID głównego procesu Icinga 2 z pliku PID zapisywalnego przez użytkownika demona, ale wysyłają sygnał jako użytkownik root. Może to pozwolić użytkownikowi Icinga na wysyłanie sygnałów do procesów, do których normalnie nie ma uprawnień. Poprawki zawierają wersje 2.15.1, 2.14.7 i 2.13.13.

Icinga 2 to otwarty system monitoringu. Od wersji 2.10.0 do przed 2.15.1, 2.14.7 i 2.13.13, podczas tworzenia nieprawidłowego odwołania (np. do null) dereferencja powoduje błąd segmentacji. Każdy użytkownik API z dostępem do punktu końcowego umożliwiającego określenie wyrażenia filtrującego może spowodować awarię demona Icinga 2.

Icinga 2 w wersjach od 2.4 do 2.15.0 ma podatność, która pozwala uwierzytelnionym użytkownikom API na dostęp do zmiennych i obiektów, które powinny być ukryte, w tym zmiennych globalnych i obiektów nieobjętych uprawnieniami. Poprawki dostępne w wersjach 2.15.1, 2.14.7 i 2.13.13.

W pliku mexcel.php w Vfront 0.99.52 występuje podatność na deserializację niesprawdzonego wejścia użytkownika. Funkcja unserialize jest wywoływana na danych z $_POST['mexcel'] po dekodowaniu base64, bez walidacji i bez ograniczenia dozwolonych klas. Umożliwia to atakującemu wstrzyknięcie dowolnych obiektów PHP, co może prowadzić do zdalnego wykonania kodu, wstrzyknięcia SQL, przejścia ścieżek lub odmowy usługi.

W kodzie źródłowym ATLAS-EPIC w commit f29312c (z 2025-05-26) znaleziono zakodowane na stałe poświadczenia (hardcoded credentials). Oznacza to, że dane uwierzytelniające są bezpośrednio osadzone w repozytorium, co umożliwia ich odczytanie każdemu, kto ma dostęp do kodu.