Katalog podatności CVE

W urządzeniu Hitron HI3120 w wersji 7.2.4.5.2b1 wykryto podatność, która umożliwia lokalnemu atakującemu uzyskanie wrażliwych informacji poprzez opcję wylogowania w pliku index.html.

W MISP przed wersją 2.5.28 występuje podatność na XSS w pliku app/View/Elements/Workflows/executionPath.ctp, co pozwala na wstrzyknięcie złośliwego kodu w ścieżce wykonania workflow.

Podatność use-after-free w WebKit została załatana poprzez ulepszone zarządzanie pamięcią. Problem występuje w Safari oraz systemach Apple przed wydaniem odpowiednich aktualizacji.

Urządzenia Starlink Dish z firmware 2024.12.04.mr46620 umożliwiają nieuwierzytelnione żądania gRPC w sieci LAN, co pozwala na wykonywanie akcji administracyjnych. Obejście polityki cross-origin jest możliwe przez pominięcie nagłówka Referer. Atakujący może odczytać dane o przechyleniu, obrocie i elewacji, co ułatwia określenie lokalizacji geograficznej anteny.

W bibliotece glib wykryto podatność polegającą na przepełnieniu bufora sterty i odmowie usługi (DoS) spowodowanej przepełnieniem liczby całkowitej w funkcji escape_byte_string() w komponencie GIO. Problem występuje podczas przetwarzania złośliwych wartości atrybutów plików lub zdalnych systemów plików.

Podatność w urządzeniu Meatmeet pozwala nieuwierzytelnionemu atakującemu w zasięgu Bluetooth Low Energy (BLE) na wysłanie komend powodujących wyłączenie, restart lub wyczyszczenie konfiguracji urządzenia. Skutkuje to przerwaniem komunikacji z chmurą i koniecznością ponownej konfiguracji.

Podatność CSRF w 1Panel w wersjach od 1.10.33 do 2.0.15 w funkcji zarządzania nazwą panelu. Brak zabezpieczeń CSRF (tokeny, walidacja Origin/Referer) umożliwia atakującemu zmianę nazwy panelu ofiary bez jej zgody poprzez spreparowaną stronę WWW.

Podatność CVE-2025-13125 dotyczy DijiDemi i polega na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika, co umożliwia wykorzystanie zaufanych identyfikatorów. Problem ten będzie aktualny do 28.11.2025.

W bibliotece GLib (Gnome Lib) wykryto podatność umożliwiającą zdalnemu atakującemu wywołanie uszkodzenia sterty poprzez niedomiar bufora w parserze GVariant podczas przetwarzania złośliwie spreparowanych danych wejściowych. Może to prowadzić do odmowy usługi lub potencjalnego wykonania kodu.

Podatność w ColdFusion umożliwia atakującemu uzyskanie ograniczonego nieautoryzowanego dostępu do zapisu poprzez niewystarczającą ochronę poświadczeń. Luka wynika z nieprawidłowego przechowywania lub przesyłania danych uwierzytelniających. Eksploatacja nie wymaga interakcji użytkownika.

Podatność XXE w ColdFusion umożliwia nieautoryzowany odczyt plików na serwerze. Luka występuje w wersjach 2025.4, 2023.16, 2021.22 i starszych. Atakujący może wykorzystać ją do uzyskania dostępu do wrażliwych danych, choć wymaga to spełnienia dodatkowych warunków.

Błąd w interfejsie użytkownika Microsoft Exchange Server prowadzi do błędnej prezentacji krytycznych informacji, co umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku spoofingowego w sieci.

W phpIPAM v1.7.3 odkryto podatność na atak XSS w formularzu Request IP. Luka umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr instructions w żądaniu do endpointu /app/admin/instructions/edit-result.php.

Podatność CVE-2025-6924 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software e-BAP Automation, co pozwala na wystąpienie ataków typu Reflected XSS.

Podatność CVE-2025-6923 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software UNIS, co pozwala na ataki typu Reflected XSS.

Podatność CVE-2025-10876 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software e-BAP Automation, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji e-BAP Automation od 1.8.96 do przed v.41815.

W usłudze załączników w usememos memos v0.25.2 brak walidacji nazw plików umożliwia atakującym wykonanie path traversal. Podatność pozwala na dostęp do plików poza zamierzonym katalogiem.

Podatność w usłudze Identity Provider w usememos memos v0.25.2 umożliwia atakującym z niskimi uprawnieniami modyfikację lub usunięcie zarejestrowanych dostawców tożsamości. Może to prowadzić do przejęcia konta lub ataku typu Denial of Service (DoS).

W wielu plikach istnieje możliwość ujawnienia informacji między użytkownikami z powodu braku sprawdzenia uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami dowolną modyfikację lub usuwanie załączników utworzonych przez innych użytkowników.