Katalog podatności CVE

W systemie Jinher OA w wersjach do 2.0 odkryto lukę bezpieczeństwa, która dotyczy nieznanej funkcji pliku /c6/Jhsoft.Web.module/eformaspx/WebDesign.aspx/?type=SystemUserInfo&style=1. Manipulacja tym plikiem prowadzi do odniesienia do zewnętrznych jednostek XML. Możliwe jest zdalne wykorzystanie tej luki.

W urządzeniu D-Link DI-7100G C1 (do wersji 20250928) wykryto podatność przepełnienia bufora w funkcji sub_4BD4F8 w pliku /webchat/hi_block.asp komponentu jhttpd. Manipulacja argumentem popupId prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Podatność w bibliotece python-socketio w wersjach przed 5.14.0 pozwala na zdalne wykonanie kodu poprzez deserializację złośliwego ładunku pickle. W środowiskach wieloserwerowych korzystających z kolejki komunikatów (np. Redis) komunikacja między serwerami odbywa się z użyciem modułu pickle, a odbierane wiadomości są deserializowane bez weryfikacji. Atakujący, który wcześniej uzyskał dostęp do kolejki komunikatów, może wysłać spreparowaną wiadomość i wykonać dowolny kod Pythona z uprawnieniami procesu serwera Socket.IO.

Flowise to interfejs drag & drop do budowania niestandardowych przepływów dużych modeli językowych. Podatność w wersji 3.0.7 pozwala uwierzytelnionym użytkownikom na przesyłanie dowolnych plików bez odpowiedniej walidacji, co umożliwia trwałe umieszczenie złośliwych powłok Node.js na serwerze i potencjalne zdalne wykonanie kodu (RCE). System nie weryfikuje rozszerzeń plików, typów MIME ani zawartości podczas przesyłania. Na moment publikacji brak znanych wersji z poprawką.

SillyTavern to lokalnie zainstalowany interfejs użytkownika, który umożliwia interakcję z modelami generacji tekstu, silnikami generacji obrazów oraz modelami syntezatorów mowy. W wersjach przed 1.13.4 interfejs webowy SillyTavern jest podatny na ataki DNS rebinding, co pozwala atakującym na instalację złośliwych rozszerzeń, odczyt czatów oraz wstrzykiwanie dowolnego HTML w celu przeprowadzania ataków phishingowych.

Litestar to framework ASGI, w wersji 2.17.0 możliwe jest całkowite obejście limitów prędkości poprzez manipulację nagłówkiem X-Forwarded-For. Middleware RateLimitMiddleware ufa wartości tego nagłówka, co pozwala atakującym na tworzenie oddzielnych koszyków limitów prędkości.

Wykryto podatność w urządzeniu D-Link DI-7100G C1 do wersji 20250928. Problem dotyczy funkcji sub_4C0990 w pliku /webchat/login.cgi komponentu jhttpd, gdzie manipulacja argumentem openid prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

XWiki Platform (od wersji 4.3-milestone-1 do przed 16.10.9, 17.4.2 i 17.5.0) jest podatny na wstrzyknięcie HQL przez parametr orderField w adresie URL wyszukiwania REST. Wartość jest dodawana dwukrotnie do zapytania, co utrudnia eksploatację, ale możliwe jest ominięcie zabezpieczeń przez zamknięcie części zapytania w pojedyncze cudzysłowy.

Rozszerzenie XWiki OIDC w wersjach od 2.17.1 do przed 2.18.2 pozwala każdemu z dostępem VIEW do profilu użytkownika na utworzenie tokenu dla tego użytkownika. Jeśli instancja XWiki zezwala na uwierzytelnianie tokenem, umożliwia to logowanie jako dowolny użytkownik. Wersja 2.18.2 zawiera poprawkę.

W Orban Optimod 5950, Optimod 5950HD, Optimod 5750, Optimod 5750HD oraz Optimod Trio w wersji 1.0.0.33 - System w wersji 2.5.26 występuje problem, który pozwala zdalnemu atakującemu na eskalację uprawnień poprzez przechowywanie informacji o uprawnieniach/rolach użytkowników w pamięci przeglądarki po stronie klienta.

Wykryto podatność w Four-Faith Water Conservancy Informatization Platform do wersji 2.2. Manipulacja argumentem fileName w pliku /aloneReport/index.do/../../aloneReport/download.do;othersusrlogout.do prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Four-Faith Water Conservancy Informatization Platform do wersji 2.2 wykryto lukę bezpieczeństwa. Manipulacja argumentem fileName w pliku /stAlarmConfigure/index.do/../../aloneReport/download.do;otherlogout.do prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W urządzeniu D-Link DI-7100G C1 do wersji 20250928 wykryto podatność na wstrzykiwanie poleceń w funkcji sub_46409C pliku /msp_info.htm?flag=qos komponentu jhttpd. Manipulacja argumentem iface umożliwia zdalne wykonanie poleceń. Exploit jest publiczny.

W systemie zarządzania wizytami w apartamentach Campcodes Online w wersji 1.0 odkryto lukę bezpieczeństwa. Problem dotyczy nieznanej funkcji w pliku /visitor-detail.php, gdzie manipulacja argumentem editid prowadzi do wstrzykiwania SQL.

W systemie Online Banking System (do wersji 57437e6400ce0ae240e692c24e6346b8d0c17d7a) wykryto podatność w nieznanej funkcji pliku /customer_add_action.php, w komponencie dodawania klienta. Manipulacja argumentem First Name prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie PHPGurukul Beauty Parlour Management System 1.1 wykryto podatność na SQL injection w pliku /admin/sales-reports-detail.php. Manipulacja argumentami fromdate/todate umożliwia zdalne wykonanie ataku. Exploit został publicznie ujawniony.

Podatność CVE-2025-0609 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Logo Cloud od Logo Software Inc., co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji przed 1.18.

Podatność typu 'Open Redirect' w Logo Cloud firmy Logo Software Inc. umożliwia przekierowanie użytkowników na nieznane, potencjalnie złośliwe strony. Problem ten dotyczy wersji Logo Cloud przed 2025.R6.

W podatności CVE-2025-0607 występuje niewłaściwe kodowanie lub ucieczka danych wyjściowych w oprogramowaniu Logo Cloud firmy Logo Software Inc., co umożliwia ataki phishingowe. Problem dotyczy wersji Logo Cloud przed 2.57.

W systemie Online Course Registration 1.0 znaleziono lukę, która dotyczy nieznanej funkcji w pliku /admin/manage-students.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co może być wykorzystane przez atakującego zdalnie.