Katalog podatności CVE

W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami dowolną modyfikację lub usuwanie załączników utworzonych przez innych użytkowników.

W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami arbitralne usuwanie reakcji dodanych do notatek innych użytkowników.

Podatność w module zarządzania oknami związana z kontrolą uprawnień. Jej wykorzystanie może wpłynąć na dostępność systemu.

W bibliotece util-linux wykryto podatność polegającą na odczycie poza zakresem sterty podczas przetwarzania 256-bajtowych nazw użytkowników w funkcji `setpwnam()`. Problem dotyczy narzędzi SUID (Set User ID) w login-utils, które zapisują do bazy haseł.

Podatność na przesyłanie plików w telefonie Fanvil x210 V2 w wersji 2.12.20 umożliwia nieuwierzytelnionym atakującym w lokalnej sieci zapisywanie dowolnych plików w systemie plików urządzenia.

W urządzeniu Fanvil x210 V2 w wersji 2.12.20 wykryto podatność, która umożliwia nieuwierzytelnionym atakującym w lokalnej sieci wykonanie dowolnych poleceń systemowych.

W jądrze systemu Linux zidentyfikowano podatność w funkcji devl_rate_nodes_destroy, która nie ustawia wskaźnika rodzica na NULL dla obiektów rate, co prowadzi do pozostawienia wskaźnika w stanie wiszącym. To może powodować błędy związane z licznikiem odniesień w komponentach netdevsim i mlx5.

Podatność w HCLTech GRAGON przed wersją 7.6.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez API, które nie ograniczają liczby ani rozmiaru żądań.

W produkcie HCLTech DRAGON przed wersją 7.6.0 wykryto podatność na atak typu Cross Site Scripting (XSS). Brak odpowiednich dyrektyw bezpieczeństwa umożliwia zdalnemu atakującemu wykonanie dowolnego kodu w kontekście przeglądarki ofiary.

Podatność w Aquarius Desktop 3.0.069 dla macOS polega na przechowywaniu danych uwierzytelniających użytkownika w pliku lokalnym przy użyciu słabego schematu zaciemniania. Hasło jest „szyfrowane” przez przewidywalną substytucję bajtów, którą można łatwo odwrócić, co umożliwia natychmiastowe odzyskanie jawnego tekstu.

Podatność na trwałe skryptowanie między witrynami (XSS) w punkcie końcowym PwdGrp.cgi urządzenia AVTECH DGM1104 umożliwia atakującym wstrzyknięcie złośliwego kodu JavaScript lub HTML do pola nazwy użytkownika. Skuteczne wykorzystanie podatności pozwala na wykonanie dowolnych skryptów w kontekście przeglądarki ofiary.

W produkcie AVTECH SECURITY DGM1104 (wersja FullImg-1015-1004-1006-1003) wykryto uwierzytelnioną podatność na wstrzykiwanie poleceń w funkcji test_mail. Luka umożliwia atakującemu wykonanie dowolnych poleceń systemowych poprzez spreparowane dane wejściowe.

W ImageMagick, przed wersjami 7.1.2-9 i 6.9.13-34, występuje podatność w warstwie Magick++, która pojawia się, gdy Options::fontFamily jest wywoływane z pustym ciągiem. To prowadzi do zwolnienia pamięci, ale pozostawia wskaźnik na zwolnionej pamięci, co może skutkować awariami lub uszkodzeniem sterty.

Podatność CVE-2025-13505 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Dotyczy to wersji Datactive od 2.13.34 do przed 2.14.0.6, umożliwiając przechowywane XSS.

W Angularze, przed wersjami 21.0.2, 20.3.15 i 19.2.17, zidentyfikowano podatność typu Stored Cross-Site Scripting (XSS) w kompilatorze szablonów. Problem wynika z niekompletności wewnętrznego schematu zabezpieczeń kompilatora, co pozwala atakującym na obejście wbudowanej sanitizacji bezpieczeństwa Angulara.

W Snipe-IT przed wersją 8.3.4 odkryto podatność na trwały atak XSS w polu "Kraj" w lokalizacjach. Umożliwia ona uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wstrzyknięcie kodu JavaScript, który wykona się w sesji innego użytkownika.

Podatność XSS w Snipe-IT przed wersją 8.3.4 umożliwia niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi wstrzyknięcie JavaScript, który wykonuje się w sesji administratora, co prowadzi do eskalacji uprawnień.

Podatność w Seneka Software dotycząca niewłaściwego egzekwowania workflow behawioralnego pozwala na niewłaściwe wykorzystanie funkcjonalności. Problem dotyczy wersji Onaylarım od 25.09.26.01 do 18112025.

W podatności CVE-2025-13296 występuje luka typu Cross-Site Request Forgery (CSRF) w oprogramowaniu T-Soft E-Commerce firmy Tekrom Technology Inc. Umożliwia ona przeprowadzenie ataku CSRF.

W classroomio 0.1.13 wykryto podatność IDOR, która umożliwia studentom dostęp do wrażliwych endpointów administratora/nauczyciela poprzez manipulację identyfikatorami kursów w URL. Prowadzi to do chwilowego ujawnienia poufnych danych kursów, administratorów i studentów, zanim system przywróci normalne ograniczenia dostępu.