Katalog podatności CVE

Podatność Server-Side Request Forgery (SSRF) w VitaraCharts 5.3.5 w pliku fileLoader.jsp umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów sieciowych.

W FortiOS i FortiProxy występuje podatność na obejście uwierzytelnienia, która może pozwolić uwierzytelnionemu atakującemu na podniesienie swoich uprawnień poprzez wywołanie złośliwej akcji Webhook w komponencie Automation Stitch.

W podatności CVE-2025-0642 występuje wykorzystanie twardo zakodowanych poświadczeń oraz możliwość obejścia autoryzacji za pomocą klucza kontrolowanego przez użytkownika w oprogramowaniu PosCube. Problem ten umożliwia przeprowadzenie wykopów oraz obejście procesu uwierzytelniania.

Podatność w systemie Viday umożliwia ujawnienie wrażliwych informacji poprzez przechwytywanie żądań HTTP i odczytanie tokena JWT, który zawiera dane użytkowników w swoim ładunku.

W bibliotece validator.js do wersji 13.15.15 wykryto podatność polegającą na obejściu walidacji URL. Funkcja isURL() używa '://' jako separatora protokołu, podczas gdy przeglądarki używają ':'. Ta różnica w parsowaniu umożliwia atakującym tworzenie adresów URL, które omijają walidację protokołu i domeny, prowadząc do ataków XSS i Open Redirect.

Podatność w kliencie HTTP OpenSSL powoduje odczyt poza zakresem, gdy zmienna środowiskowa 'no_proxy' jest ustawiona, a host w URL-u jest adresem IPv6. Może to prowadzić do awarii aplikacji i odmowy usługi (DoS).

W implementacji algorytmu SM2 na 64-bitowych platformach ARM wykryto podatność na atak typu timing side-channel, który może potencjalnie umożliwić zdalne odzyskanie klucza prywatnego. Podatność ta nie dotyczy standardowych konfiguracji TLS w OpenSSL, ale może być wykorzystana w niestandardowych scenariuszach z użyciem certyfikatów SM2.

W aplikacji Payeer na Androida w wersji 2.5.0 wykryto podatność polegającą na nieprawidłowej kontroli dostępu w procesie zmiany kodu PIN. Lokalny atakujący z dostępem root do urządzenia może dynamicznie manipulować aplikacją, aby ominąć weryfikację bieżącego PIN-u i bezpośrednio zmienić kod PIN. Umożliwia to nieautoryzowanym użytkownikom zmianę PIN-u bez znajomości oryginalnego/aktualnego kodu.

W systemie FairSketch RISE Ultimate Project Manager & CRM 3.9.4 wykryto podatność na atak XSS (przechowywany). Administrator może wstrzyknąć złośliwy kod JavaScript podczas tworzenia nowych folderów w eksploratorze plików panelu administracyjnego.

Podatność CVE-2025-6396 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Webbeyaz Website Design, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy oprogramowania do projektowania stron internetowych do 14 lipca 2025 roku.

Podatność CVE-2025-11025 dotyczy platformy Vimesoft Corporate Messaging, która pozwala na wyciąganie wbudowanych danych wrażliwych z wysyłanych wiadomości. Problem ten występuje w wersjach od V1.3.0 do przed V2.0.0.

Backend OpenSSL w glib-networking nieprawidłowo sprawdza wartość zwracaną przez wywołanie BIO_write(), co prowadzi do odczytu poza dozwolonym zakresem pamięci.

W bibliotece libxslt podczas parsowania węzłów xsl występuje podatność use-after-free, która może prowadzić do dereferencji wygasłych wskaźników i awarii aplikacji.

W podatności CVE-2025-9031 występuje problem z różnicą czasową w DivvyDrive Web, który umożliwia przeprowadzanie wyszukiwań międzydomenowych. Dotyczy to wersji od 4.8.2.2 do przed 4.8.2.15.

Podatność na atak typu Cross-site scripting (XSS) w systemie YzmCMS do wersji 7.3, występująca w nagłówku referer na stronie rejestracji. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do przeglądarki ofiary.

W podatności CVE-2025-9342 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w aplikacji AHE Mobile firmy Anadolu Hayat Emeklilik Inc., co umożliwia nadużycie uprawnień. Problem dotyczy wersji AHE Mobile od 1.9.7 do przed 1.9.9.

W usłudze rezerwacji posiłków ARD odkryto podatność na atak typu Cross-Site Scripting (XSS). Podatność występuje w parametrze transactionID w adresie URL strony potwierdzenia transakcji. Z powodu niewłaściwej walidacji wejścia i kodowania wyjścia, atakujący może wstrzyknąć złośliwy kod JavaScript, który wykonuje się w przeglądarce ofiary.

W PivotX CMS w wersji 3.0.0 RC 3 odkryto podatność na atak XSS (Cross Site Scripting). Luka umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez pole subtitle.

Podatność SQL Injection w oprogramowaniu ARD GEC en Lign przed wersją z 23 kwietnia 2025 roku umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametry GET w pliku index.php.

Podatność CVE-2025-9035 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w platformie Virtual Library firmy Horato Internet Technologies Ind. And Trade Inc., co pozwala na ataki typu Reflected XSS.