CVE Vulnerability Catalog

W podatności CVE-2025-0607 występuje niewłaściwe kodowanie lub ucieczka danych wyjściowych w oprogramowaniu Logo Cloud firmy Logo Software Inc., co umożliwia ataki phishingowe. Problem dotyczy wersji Logo Cloud przed 2.57.

Podatność CVE-2025-0606 w oprogramowaniu Logo Cloud firmy Logo Software Inc. umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, co prowadzi do wymuszonego przeglądania oraz ujawnienia zasobów. Problem dotyczy wersji Logo Cloud przed 0.67.

W jądrze Linuxa rozwiązano podatność dotyczącą niewłaściwego odmapowywania i usuwania csa_va w sterowniku amdgpu. Problem polegał na tym, że Root PD BO powinien być zarezerwowany przed odmapowaniem i usunięciem bo_va z VM, w przeciwnym razie występowały ostrzeżenia w lockdep.

W jądrze systemu Linux zidentyfikowano podatność, która prowadziła do awarii podczas operacji hotplug CPU. Problem występował w module qla2xxx, gdy czas oczekiwania na przerwanie I/O wygasał, co skutkowało nieprawidłowym wywołaniem zakończenia operacji.

W jądrze systemu Linux zidentyfikowano podatność, która została rozwiązana. Problem dotyczy wywołania funkcji ib_query_pkey() w kontekście atomowym, co prowadzi do błędu, ponieważ tracepointy nie mogą zasypiać.

A hung task vulnerability was found in the Linux kernel during LTP cgroup testing with repeated mount/unmount of perf_event and net_prio controllers. The issue occurs when work items are queued in a single cgroup_destroy_wq workqueue, causing a deadlock. The fix splits the workqueue into three dedicated ones: cgroup_offline_wq, cgroup_release_wq, and cgroup_free_wq.

In the Linux kernel's crypto subsystem (af_alg), a vulnerability was found where on error in af_alg_sendmsg, the ctx->merge variable may contain a garbage value from the previous loop iteration. This can cause a system crash on the next call when it attempts an invalid merge.

A vulnerability in the Linux kernel related to a memory leak in the smbd_negotiate() function during error handling for SMB client has been resolved.

OpenSupports udostępnia punkt końcowy, który pozwala na edytowanie listy 'nadzorowanych użytkowników' dla dowolnego konta, nie weryfikując, czy aktor jest właścicielem tej listy. Pracownik na poziomie 1 może zmodyfikować relację nadzoru innej osoby, co pozwala jej na przeglądanie zgłoszeń dodanych 'nadzorowanych' użytkowników.

nopCommerce 4.40.3 is vulnerable to XSS in the Product Name field at /Admin/Product/Edit/[id]. Each time a user views the product in the shop, the XSS payload fires.

Podatność związana z użyciem twardo zakodowanych poświadczeń w oprogramowaniu TigerWings ERP firmy Logo Software Inc. umożliwia odczyt wrażliwych stałych w obrębie pliku wykonywalnego. Problem dotyczy wersji TigerWings ERP od 01.01.00 do przed 3.03.00.

Podatność CVE-2025-0876 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie IT's Workif, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji systemu do 20251003.

A Server-Side Request Forgery (SSRF) vulnerability in VitaraCharts 5.3.5 in fileLoader.jsp allows an attacker to send requests from the server to internal network resources.

FortiOS and FortiProxy have an authentication bypass vulnerability that may allow an authenticated attacker to elevate their privileges by triggering a malicious Webhook action in the Automation Stitch component.

W podatności CVE-2025-0642 występuje wykorzystanie twardo zakodowanych poświadczeń oraz możliwość obejścia autoryzacji za pomocą klucza kontrolowanego przez użytkownika w oprogramowaniu PosCube. Problem ten umożliwia przeprowadzenie wykopów oraz obejście procesu uwierzytelniania.

A vulnerability in Viday exposes sensitive information by allowing an attacker to intercept HTTP requests and extract JWT tokens containing user data in the payload.

A URL validation bypass vulnerability exists in validator.js through version 13.15.15. The isURL() function uses '://' as a delimiter to parse protocols, while browsers use ':' as the delimiter. This parsing difference allows attackers to bypass protocol and domain validation by crafting URLs leading to XSS and Open Redirect attacks.

An out-of-bounds read vulnerability in the OpenSSL HTTP client occurs when the 'no_proxy' environment variable is set and the host in the URL is an IPv6 address. This can cause a crash leading to Denial of Service (DoS).

A timing side-channel vulnerability in the SM2 algorithm implementation on 64-bit ARM platforms could allow remote recovery of the private key. This issue does not affect standard TLS configurations in OpenSSL but may be exploited in custom setups using SM2 certificates.

In the Payeer Android application version 2.5.0, an improper access control vulnerability exists in the PIN change authentication flow. A local attacker with root access can dynamically instrument the app to bypass the current PIN verification and directly modify the authentication PIN. This allows unauthorized users to change the PIN without knowing the original/current PIN.