Katalog podatności CVE

Do pakietu Nx (systemu budowania) oraz kilku powiązanych wtyczek wprowadzono złośliwy kod. Zmodyfikowany pakiet został opublikowany w rejestrze oprogramowania npm w wyniku ataku na łańcuch dostaw.

W V8 w Google Chrome przed wersją 140.0.7339.207 występuje wyciek informacji kanałem bocznym, który pozwala zdalnemu atakującemu na wyciek danych z innych domen poprzez spreparowaną stronę HTML.

Wtyczka MultiLoca - WooCommerce Multi Locations Inventory Management dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w funkcji 'wcmlim_settings_ajax_handler' we wszystkich wersjach do 4.2.8 włącznie.

Baza danych aplikacji webowej jest wystawiona bez uwierzytelnienia, co pozwala nieautoryzowanemu zdalnemu atakującemu uzyskać dostęp i potencjalnie ją skompromitować.

Moduł Prompt w DNN (DotNetNuke) przed wersją 10.1.0 umożliwia wykonanie poleceń, które mogą zwracać surowy HTML. Złośliwe dane wejściowe, nawet jeśli są sanityzowane do wyświetlania, mogą zostać wykonane podczas przetwarzania przez niektóre polecenia, prowadząc do potencjalnego wykonania skryptów (XSS). Problem naprawiono w wersji 10.1.0.

Podatność niezaufanego dereferencjonowania wskaźnika w bibliotekach Core produktu RTI Connext Professional umożliwia manipulację wskaźnikami. Problem dotyczy wersji od 7.4.0 przed 7.6.0, od 7.0.0 przed 7.3.0.10, od 6.1.0 przed 6.1.2.27, od 6.0.0 przed 6.0.1.43, od 5.3.0 przed 5.3.*, od 5.2.0 przed 5.2.* oraz od 4.4a przed 5.1.*.

Podatność niezaufanego dereferencjonowania wskaźnika w bibliotekach Core produktu RTI Connext Professional umożliwia manipulację wskaźnikami. Problem dotyczy wersji od 7.4.0 przed 7.6.0 oraz od 7.2.0 przed 7.3.0.9.

Podatność CVE-2025-9846 dotyczy systemu Inka.Net, który przed wersją 6.7.1 pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co może prowadzić do wstrzyknięcia poleceń.

Podatność przepełnienia bufora w Novakon P series pozwala atakującemu uzyskać uprawnienia root bez wcześniejszego uwierzytelnienia. Problem dotyczy wersji P – V2001.A.C518o2 do P-2.0.05 Build 2026.02.06 (commit d0f97fd9).

Wtyczka Product Options and Price Calculation Formulas for WooCommerce – Uni CPO (Premium) dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej walidacji typów plików w funkcji 'uni_cpo_upload_file' w wersjach do 4.9.55 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'move_as_original_file' we wszystkich wersjach do 4.2.6 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej witryny.

W podatności CVE-2025-9588 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń w usłudze archiwizacji EnVision firmy Iron Mountain. Problem ten dotyczy wersji EnVision przed 250563.

W jądrze Linux w bibliotece libceph wykryto błąd nieprawidłowego dostępu do unii ceph_connection_v1_info. Kod ogólny w messenger.c odczytuje i zapisuje do członka v1 unii bez sprawdzania, czy jest on aktywny (czy używany jest msgr1). Może to prowadzić do odczytu nieprawidłowych wartości lub zapisu do nakładających się pól.

Wtyczka WPCasa dla WordPressa jest podatna na wstrzykiwanie kodu we wszystkich wersjach do i włącznie z 1.4.1. Problem wynika z niewystarczającej walidacji danych wejściowych oraz ograniczeń w funkcji 'api_requests'.

Flowise w wersji 3.0.5 zawiera podatność na zdalne wykonanie kodu (RCE). Węzeł CustomMCP przekazuje dane wejściowe użytkownika bezpośrednio do konstruktora Function(), co pozwala na wykonanie dowolnego kodu JavaScript z uprawnieniami Node.js. Podatność została naprawiona w wersji 3.0.6.

Flowise to interfejs typu drag & drop do budowania dostosowanych przepływów dużych modeli językowych. Przed sierpniem 2025 roku, w Cloud-Hosted Flowise, istniała uwierzytelniona podatność, która pozwalała użytkownikom na darmowym poziomie dostępu do wrażliwych zmiennych środowiskowych innych najemców za pośrednictwem węzła Custom JavaScript Function.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce yonisink Custom Post Type Images umożliwia wstrzykiwanie kodu. Problem ten dotyczy wersji wtyczki od n/a do 0.5 włącznie.

Niewystarczające zabezpieczenie konta proxyuser w platformie zarządzania IoT AiKaan, w połączeniu z użyciem wspólnego, zakodowanego klucza prywatnego SSH, umożliwia zdalnym atakującym uwierzytelnienie się w kontrolerze chmurowym, uzyskanie dostępu do powłoki interaktywnej oraz przejście do innych podłączonych urządzeń IoT. Może to prowadzić do zdalnego wykonania kodu, ujawnienia informacji oraz eskalacji uprawnień w środowiskach klientów.