Katalog podatności CVE

W jądrze Linuxa naprawiono podatność związaną z automatycznym montowaniem nowego systemu plików w NFS. Problem dotyczył dziedziczenia uprawnień, które nie mogły być przenoszone przy przechodzeniu do nowego systemu plików.

W jądrze Linux wykryto podatność w funkcji blk_stack_limits() w bloku, gdzie sprawdzenie wartości chunk_sectors może prowadzić do przepełnienia liczby całkowitej bez znaku podczas konwersji na bajty. Problem został naprawiony poprzez zmianę sprawdzenia na operacje oparte na sektorach.

W jądrze Linux w podsystemie io_uring/memmap brakowało rzutowania nr_pages na size_t przed przesunięciem bitowym, co mogło prowadzić do przepełnienia przy alokacjach przekraczających 4 GB. Problem dotyczy głównie użytkownika root, dla którego nie jest wykonywane księgowanie pamięci.

W jądrze Linux naprawiono podatność w menedżerze urządzeń blokowych (DM) dla urządzeń strefowych. Problem polegał na tym, że cele DM (np. dm-crypt) mogły nieprawidłowo dzielić żądania zapisu BIO, co prowadziło do zakleszczeń lub błędnych wartości sektorów podczas emulacji operacji zone append. Łatka zapewnia, że duże BIO są dzielone przed przekazaniem do funkcji map(), co zapobiega przekroczeniu limitów urządzenia.

Langchaingo obsługuje składnię jinja2 podczas analizowania zapytań, co jest następnie przetwarzane za pomocą biblioteki gonja w wersji 1.5.3. Gonja wspiera składnię include i extends do odczytu plików, co prowadzi do podatności na wstrzyknięcie szablonu po stronie serwera w langchaingo.

Niektóre rozwiązania płatności bezobsługowych 'Stored Value' firmy KioSoft wykorzystują podatne karty NFC. Atakujący mogą wykorzystać tę podatność do zmiany salda na kartach i generowania pieniędzy.

NUP Pro opracowany przez NewType Infortech posiada podatność na wstrzykiwanie SQL, która umożliwia nieautoryzowanym zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.

Niektóre modele NVR opracowane przez firmę Digiever mają podatność na wstrzykiwanie poleceń systemowych, co pozwala uwierzytelnionym zdalnym atakującym na wstrzykiwanie dowolnych poleceń systemowych i ich wykonywanie na urządzeniu.

Niektóre modele NVR opracowane przez firmę Digiever mają podatność na ujawnienie wrażliwych informacji, co pozwala nieautoryzowanym atakującym zdalnie uzyskać dostęp do pliku konfiguracyjnego systemu oraz pozyskać hasła w postaci niezaszyfrowanej dla NVR i podłączonych kamer.

W curl występuje błąd w logice porównywania ścieżek ciasteczek, który pozwala na odczyt poza granicą bufora sterty. Scenariusz obejmuje ciasteczko ustawione z atrybutem secure dla https://target, przekierowanie na http://target (ten sam host, jawny HTTP) i ponowne ustawienie tego samego ciasteczka ze ścieżką "/". Błąd powoduje awarię lub błędne wnioskowanie porównania, pozwalając niezabezpieczonej witrynie nadpisać zawartość bezpiecznego ciasteczka.

Wtyczka LWS Cleaner dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji 'lws_cl_delete_file' w wersjach do 2.4.1.3 włącznie. Umożliwia to atakującym z dostępem na poziomie Administratora usunięcie dowolnych plików na serwerze.

Wtyczka Contact Form 7 reCAPTCHA dla WordPressa do wersji 1.2.0 nie escapuje parametru $_SERVER['REQUEST_URI'] przed wyświetleniem go w atrybucie, co może prowadzić do Reflected Cross-Site Scripting w starszych przeglądarkach internetowych.

Kod WebSocket w curl nie aktualizował 32-bitowego wzorca maski dla każdej nowej wychodzącej ramki, zgodnie ze specyfikacją. Zamiast tego używał stałej maski przez cały czas trwania połączenia. Przewidywalny wzorzec maski umożliwia złośliwemu serwerowi wywołanie ruchu, który pośredniczące proxy może zinterpretować jako prawdziwy ruch HTTP i zatruć swój cache.

Wtyczka Spotify Embed Creator dla WordPressa jest podatna na trwały atak XSS przez shortcode 'spotify' we wszystkich wersjach do 1.0.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i braku escape'owania atrybutów dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyżej wstrzyknięcie dowolnych skryptów na strony, które będą wykonywane przy każdym odwiedzeniu zainfekowanej strony.

W YunaiV yudao-cloud do wersji 2025.09 wykryto podatność w pliku /crm/receivable/submit. Manipulacja argumentem ID prowadzi do nieprawidłowej autoryzacji. Atak może być wykonany zdalnie. Exploit jest publiczny i może być użyty. Producent nie odpowiedział na zgłoszenie.

Wtyczka Spirit Framework dla WordPressa jest podatna na atak Local File Inclusion we wszystkich wersjach do i włącznie z 1.2.13. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta lub wyższym, do dołączenia i wykonania dowolnych plików .php na serwerze.

Wtyczka The Events Calendar dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr 's' we wszystkich wersjach do 6.15.1 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W Agentic AI oraz Visual Studio Code występuje podatność na wstrzykiwanie poleceń AI, która pozwala nieautoryzowanemu atakującemu na wykonanie kodu przez sieć.