Katalog podatności CVE

Nieuwierzytelniony użytkownik może połączyć się z publicznie dostępną bazą danych przy użyciu dowolnych poświadczeń. System przyznaje pełny dostęp do bazy danych poprzez wykorzystanie wcześniej uwierzytelnionego połączenia przez aplikację "mmBackup". Luka dotyczy Asseco mMedica w wersjach przed 11.9.5.

W stosie IPv4 jądra Linux zmieniono funkcje icmpv4_xrlim_allow() i ip_defrag(), aby zapobiec potencjalnej podatności use-after-free. Dodano również użycie dst_dev_rcu() z obsługą lockdep w kilku innych funkcjach.

Podatność SQL injection w tlocke pg8000 w wersji 1.31.4 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez specjalnie przygotowany input w postaci listy Pythona do funkcji pg8000.native.literal.

Apache Tomcat nie escapował sekwencji ANSI w komunikatach logów. Gdy Tomcat działał w konsoli systemu Windows obsługującej sekwencje ANSI, atakujący mógł za pomocą specjalnie spreparowanego URL wstrzyknąć sekwencje ANSI, manipulować konsolą i schowkiem oraz nakłonić administratora do uruchomienia polecenia kontrolowanego przez atakującego.

Urządzenia BLU-IC2 i BLU-IC4 stosują słabą politykę haseł. Problem dotyczy wersji do 1.19.5 włącznie.

Oprogramowanie Rox, używane przez BeWelcome, zawiera podatność na wstrzykiwanie obiektów PHP wynikającą z deserializacji niezaufanych danych. Parametr `formkit_memory_recovery` oraz ciasteczko `bwRemember` są przekazywane do funkcji unserialize(), co umożliwia atakującemu wykonanie dowolnego kodu lub zapisanie plików na serwerze.

W MikroTik RouterOS w wersji 7.14.2 oraz SwOS w wersji 2.18 występuje problem, który domyślnie udostępnia interfejs zarządzania WebFig przez niezabezpieczony protokół HTTP. Umożliwia to atakującemu przechwycenie danych logowania poprzez wykonanie wstrzykniętego kodu JavaScript w przeglądarce administratora.

W systemie eTimeTrackLite Web do wersji 12.0 (20250704) odkryto lukę w kontroli uprawnień, która pozwala nieautoryzowanym atakującym na dostęp do określonych tras oraz modyfikację konfiguracji połączeń z bazą danych.

Podatność SQL injection w platformie wirtualnego kampusu DRED. Umożliwia atakującemu odczyt, tworzenie, aktualizację i usuwanie danych z bazy danych poprzez wysłanie żądania POST z parametrem 'buscame' w '/catalogo_c/catalogo.php'.

W podatności CVE-2025-62959 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości zdalnego wstrzyknięcia kodu w aplikacji videowhisper Paid Videochat Turnkey Site w wersjach od n/a do 7.3.23. Problem ten może umożliwić atakującym wykonanie nieautoryzowanego kodu na serwerze.

Urządzenia BLU-IC2 i BLU-IC4 nie wymuszają zmiany hasła początkowego przy pierwszym logowaniu. Problem dotyczy wersji do 1.19.5 włącznie.

Podatność w urządzeniach BLU-IC2 i BLU-IC4 (do wersji 1.19.5) umożliwia manipulację plikiem konfiguracyjnym poczty oraz wykonanie poleceń. Może to prowadzić do przejęcia kontroli nad urządzeniem.

Urządzenia BLU-IC2 i BLU-IC4 zawierają podatną wersję BusyBox 1.31.1, która posiada wiele znanych podatności bezpieczeństwa. Problem dotyczy wersji do 1.19.5 włącznie.

W systemie Azure Access OS urządzeń BLU-IC2 i BLU-IC4 występują podatne komponenty. Problem dotyczy wersji do 1.19.5 włącznie.

W urządzeniach występują słabe domyślne poświadczenia, które mogą zostać łatwo odgadnięte lub złamane. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

Urządzenia BLU-IC2 i BLU-IC4 do wersji 1.19.5 używają domyślnego ciągu społeczności SNMP 'public'. Pozwala to na nieautoryzowany dostęp do informacji zarządzających przez SNMP.

Emlog Pro w wersji 2.5.23 ma błąd weryfikacji kodu sesji wynikający z błędu logiki czyszczenia. Kod weryfikacyjny może być ponownie użyty wszędzie tam, gdzie wymagany jest kod weryfikacyjny e-mail. Problem naprawiono w commicie 1f726df.

Antabot White-Jotter w wersji do commita 9bcadc zawiera podatność na zdalne wykonanie kodu (RCE) bez uwierzytelnienia, która występuje w komponencie /api/aaa;/../register.

W systemie tworzone są nieudokumentowane konta administracyjne, które mają ułatwiać dostęp aplikacjom działającym na urządzeniu. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

W systemie DobryCMS wykryto podatność na wstrzykiwanie SQL. Niewłaściwa neutralizacja danych wprowadzanych przez użytkownika w funkcji językowej umożliwia ataki typu SQL Injection. Problem dotyczy starszych gałęzi oprogramowania.