Katalog podatności CVE

Zidentyfikowano podatność w HCL AION v2.0, która pozwala na wykonywanie skryptów inline w polityce CSP.

W produkcie HCL AION w wersji 2.0 zidentyfikowano podatność polegającą na ujawnieniu wrażliwych informacji nieautoryzowanemu aktorowi.

W HCL AION występuje podatność polegająca na braku atrybutu Secure w pliku cookie sesji szyfrowanej (SSL). Problem dotyczy wersji AION 2.0.

W produkcie HCL AION w wersji 2.0 zidentyfikowano podatność polegającą na ujawnieniu wrażliwych informacji nieautoryzowanemu aktorowi.

Odzwierciedlony Cross-Site Scripting (XSS) w Xibo CMS v4.1.2 od Xibo Signage wynika z braku właściwej walidacji danych wejściowych użytkownika. Aby wykorzystać podatność, atakujący musi utworzyć szablon w sekcji 'Templates', dodać element z polem 'Configuration Name' (np. widget 'Clock'), a następnie zmodyfikować pole 'Configuration Name' w lewej sekcji.

Przechowywana podatność XSS w Xibo CMS v4.1.2 wynika z braku odpowiedniej walidacji danych wejściowych użytkownika. Aby wykorzystać podatność, atakujący musi utworzyć szablon w sekcji 'Templates', następnie dodać element tekstowy w sekcji 'Global Elements', a na końcu zmodyfikować pole 'Text' w sekcji z złośliwym payloadem.

W Elasticsearch występuje wstawianie poufnych informacji do pliku dziennika podczas audytowania żądań do API reindex. W określonych warunkach wstępnych może to prowadzić do utraty poufności danych.

Apache StreamPark w wersjach od 2.1.4 do 2.1.5 ma podatność związaną z nieprawidłowymi uprawnieniami przypisanymi do wykonania. Problem został naprawiony w wersji 2.1.6.

Podatność typu Stored XSS w Kibana. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony może prowadzić do trwałego ataku XSS.

Kibana zawiera podatność XSS spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych.

Podatność w HCL MyXalytics v6.6 polega na włączaniu funkcjonalności z niezaufanej sfery kontroli. Ładowanie skryptów stron trzecich bez kontroli integralności lub walidacji może pozwolić na uruchomienie zewnętrznego kodu w kontekście aplikacji, co grozi narażeniem danych.

Energy CRM v2025 od Status Tracker Ltd ma podatność na trwały XSS (Stored XSS) z powodu braku odpowiedniej walidacji danych wejściowych użytkownika podczas wysyłania żądania POST do „/crm/create_invoice_submit.php” z parametrem „customerName_0”. Podatność ta może pozwolić zdalnemu użytkownikowi na wysłanie specjalnie spreparowanego zapytania do uwierzytelnionego użytkownika i kradzież jego sesji cookie.

W SonarQube przed wersjami 25.6, 2025.3 Commercial i 2025.1.3 LTA uwierzytelnieni użytkownicy o niskich uprawnieniach mogą odpytywać punkt końcowy /api/v2/users-management/users i uzyskać pola użytkowników przeznaczone tylko dla administratorów, w tym adresy e-mail innych kont.

Podatność typu out-of-bounds write występuje w dekoderze SPI w Samsung Notes przed wersją 4.4.30.63. Lokalni atakujący mogą zapisywać poza granicami pamięci.

Samsung Notes przed wersją 4.4.30.63 ma podatność odczytu poza zakresem podczas parsowania danych obrazu, co pozwala lokalnym atakującym na dostęp do pamięci poza zakresem.

Podatność typu out-of-bounds read występuje podczas odczytu danych obrazu w Samsung Notes przed wersją 4.4.30.63. Lokalni atakujący mogą uzyskać dostęp do pamięci poza dozwolonym zakresem.

Podatność typu out-of-bounds read występuje podczas alokacji bufora obrazu w Samsung Notes przed wersją 4.4.30.63. Lokalni atakujący mogą uzyskać dostęp do pamięci poza dozwolonym zakresem.

Podatność typu out-of-bounds read występuje w dekoderze SPI w Samsung Notes przed wersją 4.4.30.63. Lokalni atakujący mogą uzyskać dostęp do pamięci poza dozwolonym zakresem.

Niewłaściwa walidacja danych wejściowych w trybie Retail Mode przed wersją 5.59.11 pozwala atakującym na wykonanie uprzywilejowanych poleceń na własnych urządzeniach.

Podatność niewłaściwego uwierzytelniania w Smart Switch przed wersją 3.7.66.6 pozwala sąsiednim atakującym na dostęp do przesyłanych danych.