Katalog podatności CVE

CrushFTP 10 przed 10.8.4 i 11 przed 11.3.1 umożliwia obejście uwierzytelniania i przejęcie konta crushadmin (chyba że używana jest instancja DMZ proxy), co było wykorzystywane w środowisku naturalnym w marcu i kwietniu 2025. Podatność wynika z wyścigu w metodzie autoryzacji AWS4-HMAC (zgodnej z S3) w komponencie HTTP serwera FTP. Serwer najpierw weryfikuje istnienie użytkownika przez wywołanie login_user_pass() bez wymogu hasła, co uwierzytelnia sesję przez proces weryfikacji HMAC. Dodatkowo, wysyłając zniekształcony nagłówek AWS4-HMAC, można ustabilizować atak, eliminując potrzebę wygrania wyścigu, co prowadzi do błędu poza zakresem i zatrzymania kodu przed sprzątaniem sesji.

Gladinet CentreStack do wersji 16.1.10296.56315 (poprawione w 16.4.10315.56368) zawiera podatność deserializacji z powodu użycia zaszytego na stałe machineKey w portalu CentreStack, co było wykorzystywane w środowisku naturalnym w marcu 2025. Umożliwia to atakującym (znającym machineKey) serializację ładunku do deserializacji po stronie serwera w celu zdalnego wykonania kodu.

Przepełnienie bufora na stosie w Ivanti Connect Secure przed wersją 22.7R2.6, Ivanti Policy Secure przed 22.7R1.4 oraz Ivanti ZTA Gateways przed 22.8R2.2. Pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu.

Vite to framework narzędziowy frontendowy dla JavaScript. Vite ujawnia zawartość niedozwolonych plików przy użyciu ?inline&import lub ?raw?import. Podatność dotyczy tylko aplikacji, które jawnie wystawiają serwer deweloperski Vite do sieci (za pomocą opcji --host lub server.host). Podatność naprawiono w wersjach 6.2.4, 6.1.3, 6.0.13, 5.4.16 i 4.5.11.

Nieprawidłowy uchwyt w nieokreślonych okolicznościach w Mojo w Google Chrome na Windows przed wersją 134.0.6998.177 pozwalał zdalnemu atakującemu na ucieczkę z piaskownicy poprzez złośliwy plik.

W urządzeniach D-Link DIR-823X w wersjach 240126 i 240802 występuje podatność na wstrzykiwanie poleceń, która pozwala autoryzowanemu atakującemu na wykonanie dowolnych poleceń na zdalnych urządzeniach. Atakujący może to osiągnąć, wysyłając żądanie POST do /goform/set_prohibiting.

W Kentico Xperience występuje podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym użytkownikom serwera synchronizacji stagingu na przesyłanie dowolnych danych do lokalizacji względnych. To prowadzi do przejścia przez ścieżkę i przesyłania dowolnych plików, w tym treści, która może być wykonywana po stronie serwera.

Podatność obejścia uwierzytelniania w Kentico Xperience umożliwia obejście uwierzytelniania przez obsługę hasła w komponencie Staging Sync Server dla typu serwera None. Obejście uwierzytelniania pozwala atakującemu kontrolować obiekty administracyjne. Problem dotyczy Xperience do wersji 13.0.178.

Podatność obejścia uwierzytelniania w Kentico Xperience umożliwia obejście uwierzytelniania przez obsługę hasła w Staging Sync Server dla pustych nazw użytkownika SHA1 w uwierzytelnianiu digest. Obejście uwierzytelniania pozwala atakującemu kontrolować obiekty administracyjne. Problem dotyczy Xperience do wersji 13.0.172.

Akcja GitHub reviewdog/action-setup@v1 została skompromitowana 11 marca 2025 r. w godzinach 18:42–20:31 UTC poprzez dodanie złośliwego kodu, który ujawniał sekrety w logach GitHub Actions Workflow. Inne akcje reviewdog korzystające z reviewdog/action-setup@v1 również zostały skompromitowane.

tj-actions changed-files przed wersją 46 pozwala zdalnym atakującym na odkrycie sekretów poprzez czytanie logów akcji. Tagi od v1 do v45.0.7 zostały zmodyfikowane przez aktora zagrożenia, aby wskazywały na commit 0e58ed8 zawierający złośliwy kod updateFeatures.

W Zimbra Collaboration (ZCS) 9.0, 10.0 i 10.1 wykryto podatność typu stored XSS w Classic Web Client wynikającą z niewystarczającej sanityzacji treści HTML w plikach ICS. Gdy użytkownik wyświetla wiadomość e-mail zawierającą złośliwy wpis ICS, osadzony JavaScript wykonuje się poprzez zdarzenie ontoggle w znaczniku <details>, co pozwala atakującemu na uruchomienie dowolnego kodu JavaScript w sesji ofiary i podjęcie nieautoryzowanych działań, takich jak ustawienie filtrów przekierowujących wiadomości na adres kontrolowany przez atakującego.

Podatność typu Improper Isolation or Compartmentalization w jądrze Juniper Networks Junos OS pozwala lokalnemu atakującemu z wysokimi uprawnieniami naruszyć integralność urządzenia. Atakujący z dostępem do powłoki może wstrzyknąć dowolny kod, co może doprowadzić do kompromitacji urządzenia; podatność nie jest wykorzystywana z poziomu Junos CLI. Problem dotyczy wszystkich wersji przed 21.2R3-S9, 21.4 przed 21.4R3-S10, 22.2 przed 22.2R3-S6, 22.4 przed 22.4R3-S6, 23.2 przed 23.2R2-S3, 23.4 przed 23.4R2-S4 oraz 24.2 przed 24.2R1-S2 i 24.2R2.

Problem z zapisem poza przydzielonym obszarem pamięci został rozwiązany poprzez poprawione kontrole, które zapobiegają nieautoryzowanym działaniom. Problem ten został naprawiony w kilku wersjach Safari, iOS oraz macOS.

Niewłaściwa neutralizacja w Microsoft Management Console pozwala nieautoryzowanemu atakującemu na obejście funkcji zabezpieczającej lokalnie.

Przepełnienie bufora na stercie w Windows NTFS pozwala nieautoryzowanemu atakującemu na wykonanie kodu lokalnie.

Podatność typu out-of-bounds read w systemie plików Windows NTFS pozwala autoryzowanemu atakującemu na lokalne ujawnienie informacji.

Przepełnienie liczbowe lub zawinięcie w Windows Fast FAT Driver pozwala nieautoryzowanemu atakującemu na wykonanie kodu lokalnie.

Podatność w systemie plików NTFS w Windows polega na umieszczaniu wrażliwych informacji w pliku dziennika. Atakujący z fizycznym dostępem może wykorzystać tę lukę do ujawnienia informacji.

Use after free w Windows Win32 Kernel Subsystem pozwala autoryzowanemu atakującemu na lokalne podniesienie uprawnień.