Katalog podatności CVE

Aplikacja internetowa pozwala niezautoryzowanemu zdalnemu atakującemu poznać informacje o istniejących kontach użytkowników wraz z ich rolami z powodu braku uwierzytelnienia dla krytycznej funkcji.

Baza danych aplikacji webowej jest wystawiona bez uwierzytelnienia, co pozwala nieautoryzowanemu zdalnemu atakującemu uzyskać dostęp i potencjalnie ją skompromitować.

W Apache IoTDB występuje podatność polegająca na deserializacji niezaufanych danych. Problem dotyczy wersji od 1.0.0 do 2.0.5. Zaleca się aktualizację do wersji 2.0.5, która naprawia tę lukę.

W Apache IoTDB występuje podatność, która dotyczy wersji od 1.3.3 do 1.3.4 oraz od 2.0.1-beta do 2.0.4. Użytkownicy są proszeni o aktualizację do wersji 2.0.5, która naprawia ten problem.

Podatność na odbity cross-site scripting (XSS) w Liferay Portal 7.4.0 do 7.4.3.112 oraz Liferay DXP 2024.Q1.1 do 2024.Q1.18 i 7.4 GA do update 92. Zdalny uwierzytelniony atakujący może wstrzyknąć kod JavaScript przez parametr _com_liferay_commerce_product_definitions_web_internal_portlet_CPDefinitionsPortlet_productTypeName. Złośliwy kod jest odbijany i wykonywany w przeglądarce użytkownika.

Wykryto podatność w wersji 3.60 oprogramowania firmware Click Plus PLC, polegającą na przewidywalnym ziarnie w generatorze liczb pseudolosowych. Ta podatność wpływa na bezpieczeństwo generowanych kluczy prywatnych.

W wersji 3.60 oprogramowania firmware Click Plus PLC odkryto użycie uszkodzonego lub ryzykownego algorytmu kryptograficznego. Podatność polega na tym, że oprogramowanie wykorzystuje niebezpieczną implementację algorytmu szyfrowania RSA.

W RTI Connext Professional (Security Plugins) występuje podatność typu use after free, która umożliwia manipulację plikami. Problem dotyczy wersji od 7.5.0 przed 7.6.0.

DNN (dawniej DotNetNuke), otwartoźródłowa platforma CMS dla ekosystemu Microsoft, w wersjach przed 10.1.0 pozwalała użytkownikom na wstrzyknięcie kodu JavaScript w polu Biography, nawet jeśli nie było to pole rich-text. Wstrzyknięty kod wykonywał się w kontekście witryny u każdego użytkownika przeglądającego profil, w tym administratorów i superużytkowników. Problem został naprawiony w wersji 10.1.0.

Podatność niezaufanego dereferencjonowania wskaźnika w bibliotekach Core produktu RTI Connext Professional umożliwia manipulację wskaźnikami. Problem dotyczy wersji od 7.4.0 przed 7.6.0, od 7.0.0 przed 7.3.0.10, od 6.1.0 przed 6.1.2.27, od 6.0.0 przed 6.0.1.43, od 5.3.0 przed 5.3.*, od 5.2.0 przed 5.2.* oraz od 4.4a przed 5.1.*.

Podatność polegająca na odczycie poza zakresem (buffer over-read) i błędzie off-by-one w RTI Connext Professional (Core Libraries) umożliwia manipulację plikami i nadmierny odczyt buforów. Dotyczy wersji od 4.4a do 7.6.0 (przed określonymi wersjami).

Podatność niezaufanego dereferencjonowania wskaźnika w bibliotekach Core produktu RTI Connext Professional umożliwia manipulację wskaźnikami. Problem dotyczy wersji od 7.4.0 przed 7.6.0 oraz od 7.2.0 przed 7.3.0.9.

W bibliotece Libtiff odkryto podatność typu "write-what-where", która jest wyzwalana podczas przetwarzania specjalnie spreparowanego pliku TIFF. Poprzez podanie nienaturalnie dużej wartości wysokości obrazu w metadanych pliku, atakujący może nakłonić bibliotekę do zapisu kontrolowanych danych koloru w dowolnej lokalizacji pamięci.

Podatność na atak typu Cross-site scripting (XSS) w systemie YzmCMS do wersji 7.3, występująca w nagłówku referer na stronie rejestracji. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do przeglądarki ofiary.

Podatność typu Uncontrolled Search Path Element w Salesforce CLI na systemie Windows umożliwia zastąpienie zaufanego pliku wykonywalnego. Problem ten dotyczy wersji Salesforce CLI przed 2.106.6.

Podatność CVE-2025-9846 dotyczy systemu Inka.Net, który przed wersją 6.7.1 pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co może prowadzić do wstrzyknięcia poleceń.

Podatność niewłaściwego zarządzania uprawnieniami w serii Novakon P pozwala atakującym na uzyskanie uprawnień root, jeśli jeden z usług zostanie skompromitowany. Dotyczy wersji od P-V2001.A.C518o2 do P-2.0.05 Build 2026.02.06 (commit d0f97fd9).

W urządzeniach Novakon P series nie ustawiono hasła dla użytkownika root. Atakujący z fizycznym dostępem może łatwo zalogować się do konsoli urządzenia.

Podatność przepełnienia bufora w Novakon P series pozwala atakującemu uzyskać uprawnienia root bez wcześniejszego uwierzytelnienia. Problem dotyczy wersji P – V2001.A.C518o2 do P-2.0.05 Build 2026.02.06 (commit d0f97fd9).

W podatności CVE-2025-9342 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w aplikacji AHE Mobile firmy Anadolu Hayat Emeklilik Inc., co umożliwia nadużycie uprawnień. Problem dotyczy wersji AHE Mobile od 1.9.7 do przed 1.9.9.