Katalog podatności CVE

W code-projects Human Resource Management System 1.0 wykryto podatność cross site scripting w nieznanej funkcjonalności pliku /views/admin/liveEventHistory.php (komponent Live Event History). Manipulacja argumentem eventSubject prowadzi do wstrzyknięcia skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W SourceCodester Drug Recommendation System 1.0 wykryto słabość w nieznanej funkcji pliku Admin/add_user.php (komponent Password Handler). Manipulacja argumentem Password może prowadzić do braku szyfrowania danych wrażliwych. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W code-projects Human Resource Management 1.0 wykryto podatność cross site scripting w nieznanej części pliku /humanresourcemanagementsystem/src/store/EventStore.php (komponent Event Creation). Manipulacja argumentem eventSubject prowadzi do wstrzyknięcia skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W NASA cFS do wersji 7.0.1 wykryto podatność w funkcji CFE_FS_ParseInputFileNameEx w pliku cfe/modules/fs/fsw/src/cfe_fs_api.c. Manipulacja danymi powoduje odczyt poza granicami bufora, a atak można przeprowadzić zdalnie. Poprawka oczekuje na zatwierdzenie w pull request.

Cockpit CMS w wersji od 2.12.0 do 2.14.1 wyłącza weryfikację certyfikatu TLS w żądaniu restartu workera web w pliku cron.php. Atakujący w sieci może przechwycić token workera, a atakujący typu man-in-the-middle na ścieżce wychodzącej do site_url może przedstawić dowolny certyfikat, aby ukraść wartość worker/web/token i uruchomić workera web.

Zitadel przed wersją 4.16.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która umożliwia atakującym zmuszenie serwera do wysyłania żądań do wewnętrznych zasobów poprzez weryfikację domen organizacji. Pobieranie wyzwania używa domyślnego http.Get zamiast chronionego klienta, więc atakujący mogą rejestrować domeny przekierowujące na adresy loopback, wewnętrzne lub metadane chmury, aby skanować porty i mapować sieć wewnętrzną.

W YzmCMS do wersji 7.6 zidentyfikowano słabość w funkcji Password w pliku /common/function/system.func.php komponentu MD5 Handler. Manipulacja argumentem pass może prowadzić do utworzenia hasha hasła z niewystarczającym nakładem obliczeniowym. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością i trudnością wykorzystania. Exploit został publicznie udostępniony i może być użyty do ataków.

W Omega Solution CoinEx Crypto 2025 zidentyfikowano słabość w nieznanej funkcjonalności pliku /user/ticket w komponencie Ticket Attachment Upload. Manipulacja powoduje cross site scripting. Atak jest możliwy zdalnie, a exploit został publicznie udostępniony i może być wykorzystany. Strona produktu już nie istnieje, prawdopodobnie produkt został wycofany lub zastąpiony, a dostawca nie odpowiedział na zgłoszenie.

LaraDashboard od wersji 1.4.0 do 1.4.8 zawiera podatność typu race condition w RegisterController::register, która pozwala nieuwierzytelnionym atakującym obejść dzienny limit rejestracji na IP. Atakujący mogą wysłać wiele równoczesnych żądań rejestracji z jednego IP, tak aby wszystkie przeszły RegistrationGuardService::hasExceededIpLimit przed wykonaniem recordRegistration, tworząc konta masowo i obchodząc mechanizmy antyautomatyzacyjne.

LaraDashboard przed wersją 1.4.8 zawiera podatność typu path traversal, która pozwala nieuwierzytelnionym atakującym odczytywać pliki JSON poprzez manipulację segmentem trasy {lang}. Na hostach Windows atakujący mogą wysyłać sekwencje zakodowane w URL, takie jak ..%5C, aby wyjść poza resources/lang i odczytać composer.json lub inne pliki JSON aplikacji.

Wtyczka WordPress Pie Register w wersji przed 3.8.4.14 nie ogranicza dostępu do raportu kodów zaproszeń. Nieuwierzytelniony gość znający prawidłowy kod zaproszenia może uzyskać nazwy użytkowników i adresy e-mail wszystkich osób, które zarejestrowały się z tym kodem.

Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do pliku debugowania, który zapisuje w katalogu głównym serwisu przy każdej wysyłce formularza, gdy włączona jest integracja z HubSpot Forms. Pozwala to nieuwierzytelnionym atakującym na odczyt danych odpowiedzi API, w tym identyfikatorów korelacji i ciasteczek.

Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nie używa sekretu specyficznego dla witryny przy wyznaczaniu lokalizacji logów importu zapisywanych w katalogu uploads, ani nie blokuje do nich bezpośredniego dostępu. Umożliwia to nieuwierzytelnionym atakującym pobranie danych osobowych użytkowników zaimportowanych z pliku CSV.

Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nieprawidłowo waliduje typy plików w przesyłanym archiwum ani nie sanityzuje ich zawartości przed zapisaniem w publicznie dostępnej lokalizacji. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataku Stored Cross-Site Scripting.

ImageMagick przed wersją 7.1.2-32 i 6.9.13-57 zawiera podatność obejścia polityki w LoadPolicyCache, która po cichu pomija reguły polityki bezpieczeństwa, gdy policy.xml używa alternatywnego DOCTYPE. Prawidłowy DOCTYPE niekończący się na ']>' powoduje, że parser konsumuje resztę pliku, więc żadne reguły polityki nie są stosowane, a ograniczone operacje stają się dozwolone.

Denuvo Anti-Tamper do 2026-03-04 pozwala na obejście sprawdzania obecności hiperwizora poprzez przechwytywanie CPUID (SimpleSvm.sys na AMD; hyperkd.sys i hyperhv.dll na Intel).

MathWorks Simulink przed wersją R2026b, podczas wyświetlania spreparowanego pliku .slx, może zawierać bloki, które nigdy nie są widoczne w edytorze Simulink, ale powodują wykonanie kodu.

Trivy przed wersją 0.71.0 pozwala na directory traversal w funkcjach systemu plików Terraform, gdy próbują one uzyskać dostęp do ścieżek powyżej katalogu głównego skanowania. Ryzyko występuje przy skanowaniu misconf na niezaufanym wejściu (np. w pull requeście strony trzeciej zawierającym konfigurację Terraform), jeśli wrażliwe dane znajdują się pod tymi niezamierzonymi ścieżkami.

Wasmtime to środowisko uruchomieniowe dla WebAssembly. Od wersji 46.0.0 do 46.0.2 i 47.0.3 sprawdzenia preempcji fuel i epoch wewnątrz operacji zbiorczych, w tym memory.copy, table.grow i array.copy, mogą ujawnić nieprawidłowy stan pośredni, gdy embedder modyfikuje Store w Store::epoch_deadline_callback lub kontynuuje używanie Store po anulowaniu lub trapie. Może to skutkować awarią, nieprawidłowym dostępem do pamięci lub uszkodzeniem sterty GC.

Next.js to framework React do budowy aplikacji full-stack. Od wersji 16.0.0 do 16.3.8 serwer deweloperski next dev udostępnia punkt końcowy Model Context Protocol bez niezawodnego ograniczania żądań między witrynami. Złośliwa witryna odwiedzona przez dewelopera może uzyskać dostęp do punktu końcowego i odczytać lokalizację dysku projektu, fragmenty kodu źródłowego z raportów błędów, listę tras i logi deweloperskie. Wdrożenia produkcyjne nie udostępniają tego punktu końcowego. Problem został naprawiony w wersji 16.3.8.