Katalog podatności CVE

Podatność w Grandstream UCM6510 w wersji 1.0.20.52 i wcześniejszych umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez funkcję logowania w ścieżkach /cgi i /webrtccgi.

W systemie Grandstream Networks UCM6510 w wersji 1.0.20.52 i wcześniejszych brakuje ograniczenia liczby prób uwierzytelnienia. Atakujący może przeprowadzić dowolną liczbę prób logowania z różnymi hasłami, co umożliwia atak brute force na konto użytkownika.

Podatność CVE-2025-6060 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu DECE Geodi, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji Geodi przed 9.0.146.

W bibliotece libssh wykryto błąd w dekodowaniu wiadomości serwera SFTP. Nieprawidłowe sprawdzenie długości pakietu umożliwia przepełnienie liczb całkowitych na systemach 32-bitowych podczas obsługi dużych rozmiarów danych. Prowadzi to do nieudanej alokacji pamięci i awarii procesu serwera, powodując odmowę usługi.

Podatność Cross Site Scripting (XSS) w wtyczce Live Chat tawk.to w wersji 1.6.1 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Problem wynika z braku walidacji i kodowania danych wejściowych dostarczanych przez użytkownika, które są przechowywane i wyświetlane przez aplikację.

Projekt CloudClassroom-PHP w wersji 1.0 zawiera podatność na wstrzykiwanie SQL przez parametr viewid. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

Wtyczka Apwide Golive 10.2.0 do Jiry zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) poprzez funkcję testowania webhooka. Atakujący może wykorzystać tę funkcję do wysyłania żądań do wewnętrznych zasobów sieciowych.

Podatność CVE-2025-5254 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Kron Technologies Kron PAM, co pozwala na ataki typu Stored XSS. Problem ten dotyczy wersji Kron PAM przed 3.7.

Podatność w Kron Technologies Kron PAM, dotycząca przydzielania zasobów bez ograniczeń lub throttlingu, umożliwia przeprowadzenie ataku DoS za pomocą HTTP. Problem dotyczy wersji Kron PAM przed 3.7.

W bibliotece libssh wykryto błąd polegający na wywołaniu dereferencji wskaźnika NULL podczas obliczania identyfikatora sesji w procesie wymiany kluczy (KEX). Niepowodzenie alokacji w funkcjach kryptograficznych może prowadzić do awarii klienta lub serwera.

W urządzeniu Tenda AC8V4 w wersji oprogramowania V16.03.34.06 odkryto podatność na przepełnienie sterty w funkcji /goform/GetParentControlInfo. Manipulacja argumentem mac prowadzi do przepełnienia bufora w stercie.

W urządzeniu Tenda AC8V4 w wersji oprogramowania V16.03.34.06 odkryto podatność na przepełnienie stosu w funkcji /goform/WifiGuestSet. Manipulacja argumentem shareSpeed prowadzi do przepełnienia bufora na stosie.

W routerze Tenda AC8V4 w wersji V16.03.34.06 odkryto podatność przepełnienia stosu w funkcji /goform/SetSysTimeCfg. Manipulacja argumentami timeZone i timeType może prowadzić do przepełnienia bufora na stosie.

W urządzeniu Tenda AC8V4 w wersji oprogramowania V16.03.34.06 odkryto podatność na przepełnienie stosu w funkcji /goform/fast_setting_wifi_set. Manipulacja argumentem timeZone prowadzi do przepełnienia bufora na stosie.

Podatność w vBulletin 3.8.7 umożliwia atak DoS przez endpoint misc.php?do=buddylist. Uwierzytelniony użytkownik z bardzo dużą listą znajomych może spowodować nadmierne zużycie pamięci, prowadząc do wyczerpania zasobów systemowych i awarii forum.

W podatności CVE-2025-4411 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie PACS-ACSS firmy Dataprom Informatics, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem dotyczy wersji przed 16.05.2025.

Podatność CVE-2025-4296 w systemie HotelRunner B2B umożliwia przekierowanie URL do nieufnych witryn, co prowadzi do wymuszonego przeglądania. Problem ten dotyczy wersji przed 04.06.2025.

Podatność CVE-2025-4295 dotyczy niewłaściwej walidacji certyfikatu z niezgodnością hosta w systemie HotelRunner B2B, co umożliwia przeprowadzenie ataku typu HTTP Response Splitting. Problem ten dotyczy wersji B2B przed 04.06.2025.

Podatność CVE-2025-4294 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie HotelRunner B2B, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji B2B przed 04.06.2025.

Podatność CVE-2025-4284 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Agentis firmy Rolantis Information Technologies, co prowadzi do możliwości ataków typu Reflected XSS oraz DOM-Based XSS. Problem ten dotyczy wersji Agentis przed 4.32.