Katalog podatności CVE

W podatności CVE-2025-22290 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji LTL Freight Quotes – FreightQuote Edition w wersjach od n/a do 2.3.11.

W podatności CVE-2025-22286 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji LTL Freight Quotes – Worldwide Express Edition w wersjach od n/a do 5.0.21. Problem ten pozwala na refleksyjne XSS.

W podatności CVE-2025-22284 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji LTL Freight Quotes – Unishippers Edition od n/a do 2.5.8.

Podatność CVE-2024-44044 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w modułach Oshine, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji modułów Oshine od n/a do poniżej 3.3.8.

Wykryto podatność w Kong Insomnia do wersji 10.3.0, sklasyfikowaną jako krytyczną. Problem dotyczy nieznanego przetwarzania w bibliotece profapi.dll, co prowadzi do niezaufanej ścieżki wyszukiwania.

W bibliotece GNU elfutils w wersji 0.192 zidentyfikowano krytyczną podatność, która dotyczy funkcji __libdw_thread_tail w pliku libdw_alloc.c komponentu eu-readelf. Manipulacja argumentem w prowadzi do uszkodzenia pamięci.

Wykryto krytyczną podatność w NUUO Camera do wersji 20250203, która dotyczy funkcji print_file w pliku /handle_config.php. Manipulacja argumentem log prowadzi do wstrzyknięcia poleceń, co może być wykorzystane przez atakującego zdalnie.

W pliku DataSourceResource.java w interfejsie API SpagoBI w serwerze Knowage przed wersją 8.1.30 nie jest zapewnione, że ciąg 'java:comp/env/jdbc/' występuje na początku nazwy JNDI. Może to prowadzić do nieautoryzowanego dostępu do zasobów danych.

Wersje pakietu jsonpath-plus przed 10.3.0 są podatne na zdalne wykonanie kodu (RCE) z powodu niewłaściwej sanitizacji danych wejściowych. Atakujący może wykonać dowolny kod na systemie, wykorzystując niebezpieczne domyślne ustawienie trybu eval='safe'.

W systemie Brocade Fabric OS przed wersją 9.2.0, jeśli ustawienia konfiguracyjne nie są skonfigurowane do szyfrowania haseł SNMP, pola privsecret / authsecret mogą być ujawnione w postaci niezaszyfrowanej. Ujawnione hasła mogą być widoczne w zrzutach konfiguracji lub wsparcia, jeśli szyfrowanie haseł nie jest włączone.

Implementacja protokołu Simple Network Management Protocol (SNMP) w przełączniku Brocade 6547 (FC5022) umożliwia wewnętrzne wywołania skryptów do system.sh z poziomu binarnego SNMP. Uwierzytelniony atakujący może przeprowadzić wstrzyknięcie poleceń lub parametrów w operacjach SNMP, co może pozwolić mu na wydawanie poleceń jako Root.

Podatność umożliwia zdalnemu atakującemu z niskimi uprawnieniami wykonanie dowolnych poleceń powłoki poprzez wykorzystanie funkcji niższego poziomu do interakcji z urządzeniem.

Podatność pozwala zdalnemu atakującemu o niskich uprawnieniach na uruchamianie dowolnych poleceń powłoki poprzez manipulację plikiem firmware i przesłanie go do urządzenia.

Podatność związana z użyciem twardo zakodowanych poświadczeń w urządzeniu GW1500‑XS firmy GoodWe Technologies Co., Ltd. umożliwia osobom znajdującym się w fizycznej bliskości urządzenia pełny dostęp do interfejsu webowego inwertera przez Wi-Fi. Problem dotyczy wersji GW1500‑XS: 1.1.2.1.

Problem w Orbe ONetView Roeador Onet-1200 Orbe 1680210096 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez zmianę odpowiedzi serwera z kodu statusu 500 na kod statusu 200.

Podatność na niebezpieczne uprawnienia w Alvaria, Inc Unified IP Unified Director przed wersją 7.2SP2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametry source i filename w komponencie ProcessUploadFromURL.jsp.

Podatność przechowywanego XSS w interfejsie zarządzania WatchGuard Firebox przez listę zablokowanych witryn. Uwierzytelniony zdalny atakujący z uprawnieniami administratora może wykonać dowolny kod JavaScript w interfejsie zarządzania innego użytkownika.

Podatność na trwały atak XSS w interfejsie zarządzania urządzeń WatchGuard Firebox, wykorzystująca moduł spamBlocker. Uwierzytelniony zdalny atakujący z uprawnieniami administratora może wykonać dowolny kod JavaScript w interfejsie zarządzania innego użytkownika.

Podatność na nieprawidłową walidację danych wejściowych w systemie WatchGuard Fireware OS umożliwia atakującemu z dostępem sieciowym manipulowanie wartością nagłówka HTTP Host w żądaniach wysyłanych do interfejsu Web UI. Atakujący może przekierowywać użytkowników na złośliwe strony, zatruwać pamięć podręczną lub wstrzykiwać złośliwy JavaScript do odpowiedzi.

Podatność w aplikacji mobilnej HGS firmy PTT Inc. umożliwia manipulację zmiennymi kontrolowanymi przez użytkownika. Dotyczy wersji przed 6.5.0.