Katalog podatności CVE

Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia uwierzytelnionym użytkownikom dostęp do danych innych użytkowników poprzez brak weryfikacji własności. Atakujący mogą wysyłać żądania do /member/pet/detailV2 z dowolnymi identyfikatorami zwierząt, uzyskując wrażliwe informacje.

Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia nieautoryzowany dostęp do informacji o urządzeniu poprzez niebezpieczne punkty końcowe API. Atakujący mogą wykorzystać identyfikatory zwierząt domowych, aby pobrać numery seryjne i adresy MAC, co prowadzi do pełnej kontroli nad urządzeniem.

Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia nieautoryzowany dostęp do prywatnych nagrań audio poprzez wykorzystanie sekwencyjnych identyfikatorów audio i niezabezpieczonych punktów końcowych przypisania. Atakujący może wysyłać żądania do /device/deviceAudio/use z dowolnymi identyfikatorami audio, aby przypisać nagrania do dowolnego urządzenia, a następnie pobrać adresy URL audio w celu uzyskania dostępu do nagrań innych użytkowników.

Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia ominięcie uwierzytelniania poprzez wykorzystanie błędów walidacji tokenów OAuth w systemie logowania społecznościowego. Niezautoryzowany atakujący może wysłać żądanie do /member/auth/thirdLogin z dowolnym identyfikatorem Google ID i parametrem phoneBrand, uzyskując pełny token sesji i dostęp do konta bez poprawnej weryfikacji OAuth.

CasaOS w wersjach do 0.4.15 udostępnia nieuwierzytelnione punkty końcowe, które pozwalają zdalnym atakującym na odczyt wrażliwych plików konfiguracyjnych i informacji debugowania systemu. Punkty /v1/users/image i /v1/sys/debug umożliwiają dostęp do plików oraz ujawniają dane o systemie operacyjnym, jądrze, sprzęcie i magazynie.

Zgłoszono podatność typu przejście ścieżki, która dotyczy kilku wersji systemu operacyjnego QNAP. Zdalny atakujący posiadający konto administratora może wykorzystać tę podatność do odczytu zawartości nieoczekiwanych plików lub danych systemowych.

Podatność w REDCap 14.3.13 umożliwia atakującemu enumerację nazw użytkowników poprzez obserwowalną różnicę w odpowiedziach na próby logowania.

ZwiiCMS w wersjach przed 13.7.00 zawiera podatność na odmowę usługi w wielu punktach administracyjnych. Wynika ona z nieprawidłowej kontroli autoryzacji połączonej z błędnym zarządzaniem stanem zasobów.

Wykryto podatność w ZKTeco BioTime do wersji 9.0.3/9.0.4/9.5.2, która dotyczy nieznanej części pliku /base/safe_setting/ komponentu Endpoint. Manipulacja argumentem backup_encryption_password_decrypt/export_encryption_password_decrypt prowadzi do niechronionego przechowywania poświadczeń.

W telefonie Yealink T21P_E2 w wersji 52.84.0.15 wykryto podatność na przechodzenie do katalogów. Zdalny atakujący z podstawowymi uprawnieniami może odczytać dowolne pliki poprzez spreparowane żądanie do funkcji odczytu wyników komponentu diagnostycznego.

W komponencie zarządzania procesami biznesowymi (BPM) w YunaiV yudao-cloud do wersji 2025.11 występuje podatność na fałszerstwo żądań po stronie serwera (SSRF). Atakujący może zdalnie manipulować argumentami url/header/body w funkcjach BpmHttpCallbackTrigger i BpmSyncHttpRequestTrigger. Exploit został publicznie ujawniony.

Podatność CVE-2025-2154 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Specto CM, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji przed 17032025.

W jądrze Linux stwierdzono podatność w mechanizmie testowym BPF, która pozwalała na generowanie nieprawidłowych pakietów GSO (Generic Segmentation Offload) i wysyłanie ich do stosu sieciowego. Problem występował, gdy program BPF używał funkcji bpf_clone_redirect() do przekierowania pakietu na interfejs loopback, co powodowało ostrzeżenie skb_warn_bad_offload() i wyłączenie funkcji GSO.

W jądrze Linuxa zidentyfikowano podatność, która występuje podczas dodawania urządzenia portowego do urządzenia typu team, gdy port jest już aktywny. Modyfikacja nagłówka urządzenia team może prowadzić do nieprawidłowego wskazywania danych prywatnych, co skutkuje błędami w działaniu systemu.

W module Media systemu Piranha CMS w wersji 12.1 wykryto podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów w przeglądarce ofiary.

W Piranha CMS v12.1 w module Page Settings wykryto podatność na trwały cross-site scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Excerpt, co prowadzi do wykonania skryptów w przeglądarce ofiary.

Podatność typu 'Open Redirect' w systemie dostarczania jedzenia online firmy Restajet Information Technologies Inc. umożliwia przekierowanie użytkowników na niezaufane strony, co może prowadzić do phishingu oraz nieautoryzowanego przeglądania.

W SoliClub od Utarit Informatics Services Inc. występuje luka związana z brakiem autoryzacji, która umożliwia nadużycie uprawnień. Problem dotyczy wersji przed 5.3.7.

W podatności CVE-2025-14347 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie OBS (Student Affairs Information System)0, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji przed 26.5009.

W routerze Dbit N300 T1 Pro z oprogramowaniem V1.0.0 brak ograniczenia szybkości żądań do endpointu /api/login, co umożliwia atakującym przeprowadzenie ataku brute-force na hasło.