Katalog podatności CVE

iSherlock opracowany przez HGiga zawiera podatność na wstrzykiwanie poleceń systemowych, która umożliwia nieautoryzowanym zdalnym atakującym wstrzykiwanie dowolnych poleceń systemowych i ich wykonywanie na serwerze.

W urządzeniach Moxa wykryto błąd kontroli dostępu w punkcie końcowym /api/v1/setting/data. Użytkownik z niskimi uprawnieniami może wywołać API bez wymaganych uprawnień i uzyskać dostęp lub modyfikować dane konfiguracyjne systemu.

W agencie ConnectWise Automate komunikacja mogła być skonfigurowana do używania HTTP zamiast HTTPS. W takim przypadku atakujący z pozycją man-in-the-middle mógł przechwytywać, modyfikować lub odtwarzać ruch między agentem a serwerem. Poprawka w wersji Automate 2025.9 wymusza HTTPS dla całej komunikacji agenta.

OPEXUS FOIAXpress pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zresetowanie hasła administratora. Podatność została naprawiona w wersji 11.13.2.0.

Moduł PrestaShop Checkout w wersjach od 1.3.0 do przed 4.4.1 i 5.0.5 ma brak walidacji w funkcji Express Checkout, co umożliwia ciche logowanie i przejęcie konta poprzez adres e-mail. Luka została naprawiona w wersjach 4.4.1 i 5.0.5. Nie istnieją znane obejścia.

Oprogramowanie sprzętowe Ilevia EVE X1 Server (wersje ≤ 4.7.18.0.eden) zawiera podatność na użycie domyślnych poświadczeń, co pozwala nieuwierzytelnionemu atakującemu na uzyskanie zdalnego dostępu. Producent odmówił naprawy i zaleca nie wystawianie portu 8080 do internetu.

Oprogramowanie sprzętowe Ilevia EVE X1 Server (wersje ≤ 4.7.18.0.eden) zawiera podatność na wykonanie z niepotrzebnymi uprawnieniami w skrypcie sync_project.sh, co pozwala atakującemu na eskalację uprawnień do roota. Producent odmówił naprawy i zaleca nie wystawianie portu 8080 do internetu.

Oprogramowanie sprzętowe Ilevia EVE X1 Server (wersje ≤ 4.7.18.0.eden) zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w mbus_build_from_csv.php, co pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu. Producent odmówił naprawy i zaleca nie wystawianie portu 8080 do internetu.

W wielu produktach WSO2 występuje nieprawidłowa kontrola dostępu wynikająca z niewystarczającego egzekwowania uprawnień w niektórych wewnętrznych usługach SOAP Admin Services i System REST API. Użytkownik o niskich uprawnieniach może wykonać nieautoryzowane operacje, w tym uzyskać dostęp do informacji na poziomie serwera.

W WSO2 API Manager występuje podatność nieprawidłowego zarządzania uprawnieniami wynikająca z braku kontroli uwierzytelniania i autoryzacji w punkcie końcowym Dynamic Client Registration (DCR) keymanager-operations. Złośliwy użytkownik może wykorzystać tę lukę do generowania tokenów dostępu z podwyższonymi uprawnieniami, co może prowadzić do uzyskania dostępu administracyjnego.

W Qt Network dla Windows (Schannel) występuje niekompletne czyszczenie zasobów, co z czasem może prowadzić do odmowy usługi (DoS). Problem dotyczy Qt od wersji 5.15.0 do 6.8.3 oraz od 6.9.0 przed 6.9.2.

Podatność na deserializację niezaufanych danych w Apache ActiveMQ NMS AMQP Client (wszystkie wersje do 2.3.0 włącznie) podczas nawiązywania połączeń z niezaufanymi serwerami AMQP. Złośliwe serwery mogą wykorzystać nieograniczoną logikę deserializacji do wykonania dowolnego kodu po stronie klienta. Mechanizm ochronny z wersji 2.1.0 może być ominięty.

Podatność SQL injection w SISTICK v7.2 firmy Sergestec. Umożliwia atakującemu odczyt, tworzenie, aktualizację i usuwanie baz danych poprzez parametr 'id' w '/index.php?view=ticket_detail'.

Podatność SQL Injection w Sergestec Exito v8.0. Umożliwia atakującemu odczyt, tworzenie, aktualizację i usuwanie baz danych przez parametr 'cat' w pliku '/public.php'.

Whale Browser przed wersją 4.33.325.17 pozwala atakującemu na ucieczkę z piaskownicy iframe w środowisku z dwiema kartami.

W FileX przed wersją 6.4.2, module obsługi plików dla Eclipse Foundation ThreadX, występuje możliwość przepełnienia bufora w sterowniku dysku RAM FileX. Może to doprowadzić do zdalnego wykonania kodu po otrzymaniu spreparowanej sekwencji pakietów.

Wtyczka Felan Framework dla WordPressa jest podatna na niewłaściwą autoryzację w wersjach do 1.1.4 włącznie. Problem wynika z hardcodowanego hasła w funkcjach 'fb_ajax_login_or_register' oraz 'google_ajax_login_or_register', co umożliwia nieautoryzowanym atakującym logowanie się jako dowolny istniejący użytkownik, jeśli zarejestrował się za pomocą logowania społecznościowego Facebook lub Google i nie zmienił hasła.

Wtyczka Truelysell Core dla WordPressa jest podatna na nieautoryzowaną zmianę haseł użytkowników w wersjach do 1.8.6 włącznie. Problem wynika z udostępnienia przez wtyczkę dostępu do obiektów kontrolowanego przez użytkownika, co pozwala na ominięcie autoryzacji i dostęp do zasobów systemowych.

W urządzeniach Azure Access Technology BLU-IC2 i BLU-IC4 występuje podatność polegająca na przydzielaniu zasobów bez ograniczeń lub throttlingu, co umożliwia ataki typu flooding. Problem dotyczy wersji do 1.19.5 włącznie.

W wersjach przed 20.0.2 stwierdzono, że --disallow-code-generation-from-strings nie jest wystarczające do izolacji niezaufanego kodu JavaScript w happy-dom. Niezaufany skrypt i reszta aplikacji nadal działają w tym samym Isolate/procesie, więc atakujący mogą wdrażać ładunki zanieczyszczenia prototypu, aby przejąć ważne referencje, takie jak "process", lub przejąć przepływ sterowania poprzez manipulację sprawdzeniami niezdefiniowanych właściwości. Luka wynika z niekompletnej poprawki dla CVE-2025-61927. Podatność została naprawiona w wersji 20.0.2.