Katalog podatności CVE

Podatność CVE-2025-11202 dotyczy win-cli-mcp-server i pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z braku odpowiedniej walidacji ciągu dostarczonego przez użytkownika przed jego użyciem do wykonania wywołania systemowego.

W MLflow Tracking Server występuje podatność typu directory traversal przy tworzeniu modeli, umożliwiająca zdalne wykonanie kodu. Atakujący nie musi się uwierzytelniać; problem wynika z braku walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach. Atakujący może wykorzystać tę lukę do wykonania kodu w kontekście konta usługi.

W MLflow występuje podatność polegająca na słabych wymaganiach dotyczących haseł, umożliwiająca obejście uwierzytelniania. Atakujący nie musi się uwierzytelniać; problem wynika ze słabych wymagań dotyczących haseł i może zostać wykorzystany do obejścia uwierzytelniania w systemie.

W wersjach Zitadel od 2.53.6, 2.54.3 i 2.55.0 wymagane było uwierzytelnianie wieloskładnikowe tylko wtedy, gdy polityka logowania miała włączone requireMFA lub requireMFAForLocalUsers. Jeśli użytkownik skonfigurował MFA bez tego wymogu, Zitadel uznawał sesje z pojedynczym składnikiem za ważne i nie wymagał wielu składników. Pominięcie drugiego składnika osłabia MFA i umożliwia atakującemu obejście bezpieczniejszego składnika, np. atak na sam kod TOTP (sześć cyfr) z pominięciem weryfikacji hasła. Podatność naprawiono w wersjach 4.6.0, 3.4.3 i 2.71.18.

Zitadel przed wersjami 4.6.0, 3.4.3 i 2.71.18 pozwala atakującemu na przeprowadzenie ataku brute-force online na OTP, TOTP i hasła. Mechanizm blokady konta, który może temu zapobiec, nie jest domyślnie włączony i może powodować odmowę usługi dla danego użytkownika, jeśli zostanie włączony. Ponadto strategie mitygacji nie zostały w pełni wdrożone w nowszych API opartych na zasobach.

Urządzenia BLU-IC2 i BLU-IC4 do wersji 1.19.5 mają niezgodną konfigurację TLS. Może to osłabić bezpieczeństwo komunikacji.

Urządzenia BLU-IC2 i BLU-IC4 ujawniają informacje o wersji serwera. Problem dotyczy wersji do 1.19.5 włącznie.

W urządzeniach BLU-IC2 i BLU-IC4 występuje zasób pozbawiony uwierzytelniania (AuthN). Problem dotyczy wersji do 1.19.5 włącznie.

W kliencie phddns w urządzeniu Blu-Castle BCUM221E w wersji 1.0.0P220507 odkryto problem z przepełnieniem bufora na stosie, który występuje w polu hasła.

Wtyczka WordPress Contact Form CFDB7 w wersjach do 1.3.2 jest podatna na atak SQL injection przed uwierzytelnieniem, co prowadzi do niebezpiecznej deserializacji (PHP Object Injection). Problem wynika z niewystarczającej walidacji danych wejściowych w punktach końcowych wtyczki, co pozwala na wpływanie na zapytania backendowe w nieoczekiwany sposób.

DNN (dawniej DotNetNuke) w wersjach przed 10.1.1 pozwala na nieuwierzytelnione przesyłanie plików za pomocą domyślnego edytora HTML, a obrazy mogą nadpisywać istniejące pliki. Nieuwierzytelniony użytkownik może przesłać i zastąpić pliki, co umożliwia defacing strony i wstrzyknięcie payloadów XSS. Podatność naprawiono w wersji 10.1.1.

Taiga to platforma do zarządzania projektami typu open source. W wersjach 6.8.3 i wcześniejszych występuje podatność na zdalne wykonanie kodu w API Taiga z powodu niebezpiecznej deserializacji niezaufanych danych. Problem został naprawiony w wersji 6.9.0.

Aplikacja do zarządzania systemem HP ThinPro 8.1 nie weryfikowała prawdziwej tożsamości użytkownika. Firma HP wydała aktualizację HP ThinPro 8.1 SP8, która zawiera poprawki łagodzące potencjalne podatności.

W urządzeniu Dataphone A920 w wersji 2025.07.161103 odkryto problem związany z brakiem walidacji pakietów. Można stworzyć niestandardowy pakiet, który zawiera dowolne dane, co prowadzi do akceptacji pakietu przez urządzenie bez autoryzacji.

W urządzeniach BLU-IC2 i BLU-IC4 istnieje możliwość eskalacji uprawnień poprzez binarkę z ustawionym bitem SUID. Problem dotyczy wersji do 1.19.5 włącznie.

Zhangyd-c OneBlog w wersji 2.3.9 i wcześniejszych był podatny na SSTI (Server-Side Template Injection) poprzez szablony FreeMarker.

Podatna funkcja aktualizacji w urządzeniach BLU-IC2 i BLU-IC4 (do wersji 1.19.5) umożliwia dowolny zapis plików, co może prowadzić do uzyskania uprawnień superużytkownika na urządzeniu.

IBM Maximo Application Suite w wersjach 9.0.0–9.0.15 oraz 9.1.0–9.1.4 może pozwolić zdalnemu atakującemu obejść mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp do aplikacji.

W podatności CVE-2025-61128 występuje przepełnienie bufora na stosie w oprogramowaniu układowym WAVLINK QUANTUM D3G/WL-WN530HG3 w wersji M30HG3_V240730 oraz prawdopodobnie w innych modelach WAVLINK. Atakujący mogą wykonać dowolny kod, wysyłając odpowiednio skonstruowaną wartość referrera w żądaniu POST do login.cgi.

Wykryto podatność typu out-of-bounds read w Monkey's Audio 11.31, szczególnie w funkcji CAPECharacterHelper::GetUTF16FromUTF8. Problem wynika z niewłaściwego zarządzania długością wejściowego ciągu UTF-8, co może prowadzić do odczytu poza granicami pamięci.