Katalog podatności CVE

Moduł Vitals ESP Forum firmy Galaxy Software Services Corporation do wersji 1.3 zawiera podatność na nieograniczone przesyłanie plików o niebezpiecznym typie w funkcji przesyłania plików. Uwierzytelnieni zdalni użytkownicy mogą wykonywać dowolne komendy systemowe za pomocą złośliwego pliku.

System zarządzania dokumentami opracowany przez Excellent Infotek posiada podatność na nieautoryzowane przesyłanie plików, co pozwala nieautoryzowanym zdalnym atakującym na przesyłanie i uruchamianie złośliwych skryptów typu web shell, umożliwiając tym samym wykonanie dowolnego kodu na serwerze.

Wtyczka PPOM – Product Addons & Custom Fields dla WooCommerce w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcjonalności przycinania obrazów we wszystkich wersjach do 33.0.15 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 pozwala zdalnemu uwierzytelnionemu atakującemu uzyskać token z uprawnieniami administracyjnymi dla całej platformy poprzez mutację GraphQL createToken.

W wersjach 0.3.1 i wcześniejszych frameworka pyquokka, klasa FlightServer używa funkcji pickle.loads() do deserializacji danych akcji otrzymywanych od klientów Flight bez jakiejkolwiek sanitizacji lub walidacji. To stwarza możliwość wykonania zdalnego kodu przez atakujących, gdy FlightServer jest skonfigurowany do nasłuchiwania na 0.0.0.0.

Podatność na dowolne przesyłanie plików w SigningHub v8.6.8 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku PDF.

Podatność SSRF w funkcji Image Upload Gallery dashboardu ThingsBoard przed wersją 4.2.1 umożliwia atakującemu wgranie złośliwego pliku SVG odwołującego się do zdalnego URL. Przetworzenie pliku przez serwer może prowadzić do niechcianych żądań wychodzących.

W wersjach Squid przed 7.2 występuje błąd polegający na nieusuwaniu danych uwierzytelniania HTTP z komunikatów obsługi błędów, co prowadzi do ujawnienia informacji. Skrypt może ominąć zabezpieczenia przeglądarki i poznać dane uwierzytelniające zaufanego klienta, co może pozwolić zdalnemu klientowi na identyfikację tokenów bezpieczeństwa lub danych uwierzytelniających używanych wewnętrznie przez aplikację webową korzystającą z Squid do równoważenia obciążenia. Luka nie wymaga skonfigurowania uwierzytelniania HTTP w Squid i została naprawiona w wersji 7.2.

W aplikacjach hosta Zigbee EZSP występuje podatność przepełnienia bufora z powodu niewłaściwej walidacji danych wejściowych. Może to prowadzić do uszkodzenia stosu, a w pewnych warunkach do wykonania dowolnego kodu. Do wykorzystania wymagany jest dostęp do klucza sieciowego.

Wszystkie wersje IDE Windsurf zawierają podatność typu przejście ścieżki, która umożliwia atakującemu odczyt i zapis dowolnych lokalnych plików w obrębie oraz poza aktualnymi projektami na systemie użytkownika końcowego. Do podatności można uzyskać dostęp bezpośrednio oraz poprzez pośrednie wstrzykiwanie poleceń.

W podatności CVE-2025-60279 w Illia Cloud illia-Builder przed wersją 4.8.5 występuje luka typu server-side request forgery (SSRF), która pozwala uwierzytelnionym użytkownikom na wysyłanie dowolnych żądań do wewnętrznych usług za pośrednictwem API. Atakujący może wykorzystać tę lukę do enumeracji otwartych portów na podstawie różnic w odpowiedziach oraz interakcji z wewnętrznymi usługami.

W systemie PluXml CMS w edytorze motywów wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE). Problem dotyczy pliku minify.php w domyślnym katalogu motywu, który może zostać nadpisany przez uwierzytelnionego administratora dowolnym kodem PHP.

W wersjach frameworka Keras od 3.11.0 do 3.11.2 może wystąpić deserializacja nieufnych danych, co pozwala na uruchomienie dowolnego kodu na systemie końcowego użytkownika. Złośliwie przesłany plik Keras zawierający klasę TorchModuleWrapper może zostać załadowany mimo włączonego trybu bezpiecznego.

Niektóre wersje produktu iSecure Center firmy Hikvision zawierają niewystarczającą walidację parametrów, co prowadzi do podatności na wstrzykiwanie poleceń. Atakujący mogą wykorzystać tę lukę, aby uzyskać uprawnienia platformy i wykonywać dowolne polecenia w systemie.

Niektóre wersje produktu iSecure Center firmy Hikvision mają lukę związaną z niewłaściwą kontrolą przesyłania plików. Z powodu niewłaściwej weryfikacji plików do przesłania, atakujący mogą przesyłać złośliwe pliki na serwer.

W USBX przed wersją 6.4.3, module wsparcia USB dla Eclipse Foundation ThreadX, istnieje potencjalna podatność na odczyt poza zakresem w funkcji _ux_host_class_audio10_sam_parse_func() podczas analizowania listy częstotliwości próbkowania.

Wersje pakietu mammoth od 0.3.25 do przed 1.11.0 są podatne na atak typu Directory Traversal z powodu braku walidacji ścieżek lub typów plików podczas przetwarzania pliku docx zawierającego obraz z zewnętrznym linkiem. Atakujący może odczytać dowolne pliki na systemie, w którym odbywa się konwersja, lub spowodować nadmierne zużycie zasobów.

W urządzeniach Moxa wykryto użycie zaszytych na stałe poświadczeń — system używa stałego klucza do podpisywania tokenów JWT. Nieuwierzytelniony atakujący może sfałszować ważne tokeny, ominąć uwierzytelnianie i podszyć się pod dowolnego użytkownika.

W urządzeniach sieciowych Moxa występuje luka autoryzacji w API, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na utworzenie nowego konta administratora, w tym o nazwie istniejącego użytkownika. Może to prowadzić do pełnej kontroli administracyjnej nad urządzeniem i podszycia się pod konto.