Katalog podatności CVE

W MonicaHQ w wersji 4.1.2 odkryto wiele uwierzytelnionych podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach title i description w ścieżce /people/ID/reminders/create.

W MonicaHQ w wersji 4.1.2 odkryto wiele podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach first_name i last_name w funkcji dodawania nowej relacji.

Atheos to samodzielnie hostowane, przeglądarkowe IDE w chmurze. W wersjach przed v600 parametry $path i $target nie są odpowiednio walidowane w wielu komponentach, co pozwala atakującemu na odczyt, modyfikację lub wykonanie dowolnych plików na serwerze.

Fortanix Enclave OS w wersji 3.36.1941-EM posiada podatność w interfejsie, która prowadzi do uszkodzenia stanu systemu w wyniku wstrzykniętych sygnałów.

Gramine przed wersją a390e33e16ed374a40de2344562a937f289be2e1 ma podatność w interfejsie spowodowaną niezgodnością sygnałów SW z wyjątkami HW.

FastCGI fcgi2 w wersjach od 2.x do 2.4.4 zawiera przepełnienie całkowitej liczby (i wynikowe przepełnienie bufora w stercie) spowodowane przez spreparowane wartości nameLen lub valueLen w danych przesyłanych do gniazda IPC. Problem ten występuje w funkcji ReadParams w pliku fcgiapp.c.

W PRIMX ZED Enterprise do wersji 2024.3, pliki techniczne przechowywane w lokalnych folderach z ogólnym dostępem użytkowników mogą być manipulowane, co prowadzi do unieruchomienia komputera gospodarza lub wykonania programów z podwyższonymi uprawnieniami.

W Opsview Monitor Agent 6.8 odkryto podatność, która pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie check_nrpe wobec podatnych celów. Atakujący może wykorzystać znane wtyczki NRPE, które w domyślnej konfiguracji akceptują znaki kontrolne poleceń i przekazują je do interpreterów wiersza poleceń, co umożliwia ucieczkę z wykonania wtyczki NRPE i zdalne wykonanie poleceń na celu jako NT_AUTHORITY\SYSTEM.

Smart Toilet Lab - Motius w wersji 1.3.11 działa w trybie debug (DEBUG = True), co prowadzi do ujawnienia wrażliwych informacji zdefiniowanych w pliku ustawień Django poprzez szczegółową stronę błędu.

W routerach TP-Link TL-WR940N V3 i V4 z firmware 3.16.9 i wcześniejszym wykryto przepełnienie bufora w parametrach dnsserver1 i dnsserver2 na stronie /userRpm/Wan6to4TunnelCfgRpm.htm. Umożliwia to uwierzytelnionemu atakującemu wykonanie dowolnego kodu na urządzeniu z uprawnieniami roota.

PHPYun przed wersją 7.0.2 zawiera podatność umożliwiającą zdalne wykonanie kodu poprzez ograniczone zapisywanie plików i dołączanie plików z backdoorem.

W wersji 2.4 Infoblox BloxOne odkryto lukę w logice biznesowej spowodowaną podatnościami w grubej aplikacji klienckiej.

Moduł Paragraphs table dla Drupal ma podatność związaną z niewystarczającą szczegółowością kontroli dostępu, co umożliwia fałszowanie treści. Problem dotyczy wersji przed 1.23.0 oraz 2.0.0 przed 2.0.2.

Podatność typu Cross-Site Request Forgery (CSRF) w motywie administracyjnym Zephyr Modern Admin Theme umożliwia przeprowadzenie ataków CSRF. Problem ten dotyczy wersji motywu Zephyr Admin Theme od n/a do 1.4.1 włącznie.

W podatności CVE-2025-22595 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w systemie Mailing Group Listserv. Problem ten dotyczy wersji od n/a do 2.0.9.

Podatność CVE-2025-22594 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Better User Shortcodes, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 1.0 włącznie.

W podatności CVE-2025-22542 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wirtualnym bocie Ofek Nakar. Problem dotyczy wersji Virtual Bot od n/a do 1.0.0 włącznie.

W podatności CVE-2025-22540 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w module subskrypcji e-mail seballero. Problem dotyczy wersji Emailing Subscription od n/a do 1.4.1 włącznie.

Podatność CVE-2025-22539 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w module Custom DataBase Tables w wersjach od n/a do 2.1.34. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

W podatności CVE-2025-22537 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Google Maps Travel Route w wersjach od n/a do 1.3.1.