Katalog podatności CVE

Nieprawidłowa kontrola dostępu w Azure Front Door (AFD) umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.

Podatność w Azure Entra ID umożliwia eskalację uprawnień, co może prowadzić do nieautoryzowanego dostępu do zasobów. Atakujący może wykorzystać tę lukę, aby uzyskać wyższe uprawnienia niż te, które powinny być mu przyznane.

Dragonfly to system dystrybucji plików i przyspieszania obrazów oparty na P2P. W wersjach 2.4.1-rc.0 i poniżej, punkty końcowe API Job (/api/v1/jobs) nie mają middleware autoryzacji JWT oraz kontroli autoryzacji RBAC, co pozwala nieautoryzowanym użytkownikom na przeglądanie, aktualizowanie i usuwanie zadań.

W Microsoft Account występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do podatności na ataki typu 'cross-site scripting'. Taki atak umożliwia nieautoryzowanemu napastnikowi przeprowadzenie oszustwa w sieci.

Podatność występuje, gdy punkt końcowy WebSocket nie egzekwuje odpowiednich mechanizmów uwierzytelniania, co pozwala nieautoryzowanym użytkownikom na nawiązywanie połączeń. Może to prowadzić do nieautoryzowanego dostępu do wrażliwych danych lub wykonywania nieautoryzowanych działań.

Soft Serve to samodzielny serwer Git do obsługi z linii poleceń. Wersje 0.11.2 i wcześniejsze mają krytyczną podatność na obejście uwierzytelniania, która pozwala atakującemu na podszycie się pod dowolnego użytkownika (w tym administratora) poprzez 'ofertę' publicznego klucza ofiary podczas handshake'u SSH przed uwierzytelnieniem własnym ważnym kluczem.

Podatność w Gitea umożliwia nieprawidłową walidację własności repozytorium podczas łączenia załączników z wydaniami. Załącznik przesłany do prywatnego repozytorium może zostać powiązany z wydaniem w innym publicznym repozytorium, co udostępnia go nieautoryzowanym użytkownikom.

Gitea nieprawidłowo weryfikuje własność repozytorium podczas usuwania blokad Git LFS. Użytkownik z prawem zapisu do jednego repozytorium może usunąć blokady LFS należące do innych repozytoriów.

Gitea nieprawidłowo weryfikuje własność projektu w operacjach na projektach organizacji. Użytkownik z uprawnieniami do zapisu w projekcie w jednej organizacji może modyfikować projekty należące do innej organizacji.

Podatność obejścia autoryzacji przez kontrolowany przez użytkownika klucz w kontrolerach automatyki domowej Hubitat Elevation przed wersją 2.4.2.157 pozwala zdalnemu uwierzytelnionemu użytkownikowi na sterowanie podłączonymi urządzeniami poza ich autoryzowanym zakresem poprzez manipulację żądaniami po stronie klienta.

W funkcji InsertFromURL() zestawu SDK Apryse HTML2PDF do wersji 11.10 wykryto podatność, która może pozwolić atakującemu na wykonanie dowolnych poleceń systemu operacyjnego na lokalnym serwerze.

W podatności CVE-2025-69828 w TMS Global Software TMS Management Console w wersji 6.3.7.27386.20250818 występuje luka związana z przesyłaniem plików. Umożliwia ona zdalnemu atakującemu wykonanie dowolnego kodu poprzez przesłanie logo w sekcji /Customer/AddEdit.

Podatność CVE-2025-69312 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem wtyczki Xpro Elementor Addons, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji wtyczki od n/a do 1.4.19.1.

Podatność CVE-2025-69101 dotyczy systemu AmentoTech Workreap Core, umożliwiając obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten występuje w wersjach od n/a do 3.4.1 włącznie.

Podatność CVE-2025-69079 dotyczy deserializacji niezaufanych danych w wtyczce ThemeREX Sound | Sklep Muzyczny Online, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 1.6.9 włącznie.

Wtyczka FmeAddons do rejestracji i logowania za pomocą numeru telefonu komórkowego dla WooCommerce ma lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.3.1.

Podatność CVE-2025-68986 w Miion od zozothemes pozwala na nieograniczone przesyłanie plików o niebezpiecznym typie, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji Miion od n/a do 1.2.7 włącznie.

Podatność CVE-2025-68910 w Blogzee pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia wykorzystanie złośliwych plików. Problem dotyczy wersji Blogzee od n/a do 1.0.5.

Podatność CVE-2025-68909 w motywie Blogistic pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co może prowadzić do wykorzystania złośliwych plików. Dotyczy to wersji Blogistic od n/a do 1.0.5.

W podatności CVE-2025-68869 występuje nieprawidłowe przypisanie uprawnień w projekcie zarządzania zadaniami LazyTasks od LazyCoders LLC, co umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 1.2.37 włącznie.