Katalog podatności CVE

W module Media systemu Piranha CMS w wersji 12.1 wykryto podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów w przeglądarce ofiary.

W Piranha CMS v12.1 w module Page Settings wykryto podatność na trwały cross-site scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Excerpt, co prowadzi do wykonania skryptów w przeglądarce ofiary.

Podatność typu 'Open Redirect' w systemie dostarczania jedzenia online firmy Restajet Information Technologies Inc. umożliwia przekierowanie użytkowników na niezaufane strony, co może prowadzić do phishingu oraz nieautoryzowanego przeglądania.

W SoliClub od Utarit Informatics Services Inc. występuje luka związana z brakiem autoryzacji, która umożliwia nadużycie uprawnień. Problem dotyczy wersji przed 5.3.7.

W podatności CVE-2025-14347 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie OBS (Student Affairs Information System)0, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji przed 26.5009.

W routerze Dbit N300 T1 Pro z oprogramowaniem V1.0.0 brak ograniczenia szybkości żądań do endpointu /api/login, co umożliwia atakującym przeprowadzenie ataku brute-force na hasło.

W urządzeniu Hitron HI3120 w wersji 7.2.4.5.2b1 wykryto podatność, która umożliwia lokalnemu atakującemu uzyskanie wrażliwych informacji poprzez opcję wylogowania w pliku index.html.

W MISP przed wersją 2.5.28 występuje podatność na XSS w pliku app/View/Elements/Workflows/executionPath.ctp, co pozwala na wstrzyknięcie złośliwego kodu w ścieżce wykonania workflow.

Podatność use-after-free w WebKit została załatana poprzez ulepszone zarządzanie pamięcią. Problem występuje w Safari oraz systemach Apple przed wydaniem odpowiednich aktualizacji.

Urządzenia Starlink Dish z firmware 2024.12.04.mr46620 umożliwiają nieuwierzytelnione żądania gRPC w sieci LAN, co pozwala na wykonywanie akcji administracyjnych. Obejście polityki cross-origin jest możliwe przez pominięcie nagłówka Referer. Atakujący może odczytać dane o przechyleniu, obrocie i elewacji, co ułatwia określenie lokalizacji geograficznej anteny.

W bibliotece glib wykryto podatność polegającą na przepełnieniu bufora sterty i odmowie usługi (DoS) spowodowanej przepełnieniem liczby całkowitej w funkcji escape_byte_string() w komponencie GIO. Problem występuje podczas przetwarzania złośliwych wartości atrybutów plików lub zdalnych systemów plików.

Podatność w urządzeniu Meatmeet pozwala nieuwierzytelnionemu atakującemu w zasięgu Bluetooth Low Energy (BLE) na wysłanie komend powodujących wyłączenie, restart lub wyczyszczenie konfiguracji urządzenia. Skutkuje to przerwaniem komunikacji z chmurą i koniecznością ponownej konfiguracji.

Podatność CSRF w 1Panel w wersjach od 1.10.33 do 2.0.15 w funkcji zarządzania nazwą panelu. Brak zabezpieczeń CSRF (tokeny, walidacja Origin/Referer) umożliwia atakującemu zmianę nazwy panelu ofiary bez jej zgody poprzez spreparowaną stronę WWW.

Podatność CVE-2025-13125 dotyczy DijiDemi i polega na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika, co umożliwia wykorzystanie zaufanych identyfikatorów. Problem ten będzie aktualny do 28.11.2025.

W bibliotece GLib (Gnome Lib) wykryto podatność umożliwiającą zdalnemu atakującemu wywołanie uszkodzenia sterty poprzez niedomiar bufora w parserze GVariant podczas przetwarzania złośliwie spreparowanych danych wejściowych. Może to prowadzić do odmowy usługi lub potencjalnego wykonania kodu.

Podatność w ColdFusion umożliwia atakującemu uzyskanie ograniczonego nieautoryzowanego dostępu do zapisu poprzez niewystarczającą ochronę poświadczeń. Luka wynika z nieprawidłowego przechowywania lub przesyłania danych uwierzytelniających. Eksploatacja nie wymaga interakcji użytkownika.

Podatność XXE w ColdFusion umożliwia nieautoryzowany odczyt plików na serwerze. Luka występuje w wersjach 2025.4, 2023.16, 2021.22 i starszych. Atakujący może wykorzystać ją do uzyskania dostępu do wrażliwych danych, choć wymaga to spełnienia dodatkowych warunków.

Błąd w interfejsie użytkownika Microsoft Exchange Server prowadzi do błędnej prezentacji krytycznych informacji, co umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku spoofingowego w sieci.

W phpIPAM v1.7.3 odkryto podatność na atak XSS w formularzu Request IP. Luka umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr instructions w żądaniu do endpointu /app/admin/instructions/edit-result.php.

Podatność CVE-2025-6924 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software e-BAP Automation, co pozwala na wystąpienie ataków typu Reflected XSS.