Katalog podatności CVE

Urządzenia Forever KidsWatch Call Me KW-50 oraz KW-60 umożliwiają złośliwemu użytkownikowi uzyskanie informacji o urządzeniu poprzez wysłanie SMS-a, co skutkuje zwróceniem wrażliwych danych.

OpenPLC_V3 zawiera podatność na nieautoryzowane przesyłanie plików, co może być wykorzystane do kampanii złośliwego oprogramowania lub phishingu.

Najnowsza wersja utils-extend (1.0.8) jest podatna na zanieczyszczenie prototypu poprzez funkcję lib.extend. Atakujący może dostarczyć ładunek z ustawieniem Object.prototype, co pozwala na wprowadzenie lub modyfikację właściwości w globalnym łańcuchu prototypów.

Podatność w komponencie Veeam Updater umożliwia atakującym typu Man-in-the-Middle wykonanie dowolnego kodu na zaatakowanym serwerze. Problem wynika z niewłaściwej walidacji certyfikatu TLS.

W wersji 3.5.3 systemu compop.ca ONLINE MALL występuje problem, który umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametry rid, tid, et i ts.

HMI C-more EA9 firmy AutomationDirect zawiera funkcję z kontrolą zakresu, którą można pominąć. Może to umożliwić atakującemu wykorzystanie tej funkcji do spowodowania warunków odmowy usługi lub zdalnego wykonania kodu na zaatakowanym urządzeniu.

W narzędziu Post/Page Copying Tool występuje podatność na wstrzykiwanie kodu ('Code Injection'), która pozwala na zdalne włączenie kodu. Problem ten dotyczy wersji od n/a do 2.0.3.

W podatności CVE-2025-22699 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w kodzie Traveler Code. Problem dotyczy wersji Traveler Code od n/a do poniżej 3.1.2.

W przeglądarkach Firefox 134 i Thunderbird 134 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może umożliwić uruchomienie dowolnego kodu przy odpowiednim wysiłku.

W przeglądarkach Firefox 134, Thunderbird 134, Firefox ESR 128.6 oraz Thunderbird 128.6 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może umożliwić uruchomienie dowolnego kodu.

W przeglądarkach Firefox i Thunderbird występują błędy związane z bezpieczeństwem pamięci w wersjach 134 oraz ich wersjach ESR. Niektóre z tych błędów mogą prowadzić do uszkodzenia pamięci, co potencjalnie umożliwia wykonanie dowolnego kodu.

Podatność CVE-2025-1009 pozwalała atakującemu na wywołanie błędu use-after-free za pomocą spreparowanych danych XSLT, co mogło prowadzić do potencjalnie wykorzystywalnego awarii. Problem został naprawiony w wersjach Firefox 135, Firefox ESR 115.20, Firefox ESR 128.7, Thunderbird 128.7 oraz Thunderbird 135.

W modemie występuje możliwe zapisanie danych poza przydzielonym zakresem z powodu braku sprawdzenia granic. Może to prowadzić do zdalnego wykonania kodu, jeśli użytkownik połączy się z fałszywą stacją bazową kontrolowaną przez atakującego, bez potrzeby dodatkowych uprawnień do wykonania.

Dumb Drop to aplikacja do przesyłania plików, która zawiera podatność na traversję ścieżki. Użytkownicy z uprawnieniami do przesyłania plików mogą nadpisywać dowolne pliki systemowe, co może prowadzić do wstrzykiwania złośliwych ładunków do plików uruchamianych na harmonogramie lub w wyniku działań serwisu.

Wersje PrivX od 18.0 do 36.0 mają niewystarczającą walidację podpisów kluczy publicznych podczas korzystania z natywnych połączeń SSH przez port proxy. To umożliwia istniejącemu kontu PrivX 'konto A' podszywanie się pod inne istniejące konto PrivX 'konto B' i uzyskanie dostępu do hostów SSH, do których 'konto B' ma dostęp.

W SDK C++ firmy Qualisys w wersji commit a32a21a zidentyfikowano wiele przepełnień bufora stosu w funkcjach GetCurrentFrame, SaveCapture oraz LoadProject.

Wersja 3.8.2 aplikacji TeamCal Neo zawiera podatność na atak typu SQL injection. Atakujący może wykorzystać złośliwe zapytanie SQL poprzez parametr 'abs' w pliku '/teamcal/src/index.php', co pozwala na dostęp do wszystkich informacji w bazie danych.

W jądrze Linux w kliencie CIFS/SMB wykryto podwójne zwolnienie pamięci pola hostname w strukturze TCP_Server_Info. Problem występuje, gdy wątek cifsd podczas zamykania serwera nadal próbuje łączyć się z wieloma celami DFS, zanim zakończy pętlę, co prowadzi do wyścigu i podwójnego zwolnienia pamięci.

Produkty dotknięte tą podatnością zawierają lukę w procesie obsługi poleceń RPC w chmurze urządzeń, co może umożliwić zdalnym atakującym przejęcie kontroli nad dowolnymi urządzeniami podłączonymi do chmury.