Katalog podatności CVE

Nieodpowiednia implementacja w zarządzaniu hasłami w Google Chrome przed wersją 149.0.7827.155 umożliwiła zdalnemu atakującemu, który przekonał użytkownika do wykonania określonych gestów interfejsu użytkownika, wyciek danych między źródłami za pomocą spreparowanej strony HTML.

W dostawcy kontaktów istnieje możliwość uzyskania dostępu do numeru telefonu i powiązanych metadanych przychodzącego połączenia z powodu braku sprawdzenia uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.

Podatność w HCL iControl wynika z nieodpowiedniego czasu wygaśnięcia sesji. Aplikacja internetowa nie kończy automatycznie sesji użytkownika po okresie bezczynności.

Podatność w produkcie Oracle VM VirtualBox (komponent: urządzenie VMSVGA) pozwala na łatwe wykorzystanie przez atakującego z wysokimi uprawnieniami, który ma dostęp do infrastruktury, w której działa Oracle VM VirtualBox. Ataki mogą znacząco wpłynąć na dodatkowe produkty, prowadząc do nieautoryzowanego dostępu do danych.

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) w wersji 7.2.8. Umożliwia łatwe wykorzystanie przez atakującego z wysokimi uprawnieniami, który ma dostęp do infrastruktury, gdzie działa Oracle VM VirtualBox, co może prowadzić do kompromitacji tego oprogramowania.

Podatność w produkcie Oracle VM VirtualBox (komponent: urządzenie VMSVGA) umożliwia atakującemu z wysokimi uprawnieniami, który ma dostęp do infrastruktury, w której działa Oracle VM VirtualBox, kompromitację tego oprogramowania. Ataki mogą znacząco wpłynąć na dodatkowe produkty, prowadząc do nieautoryzowanego dostępu do danych.

Podatność w produkcie Oracle VM VirtualBox (komponent: urządzenie VMSVGA) pozwala na łatwe wykorzystanie przez atakującego z wysokimi uprawnieniami, który ma dostęp do infrastruktury, w której działa Oracle VM VirtualBox. Ataki mogą znacząco wpłynąć na dodatkowe produkty.

W implementacji IGMP dla IPv4 w systemie Zephyr występuje podatność use-after-free. Funkcja igmp_send() odczytuje wskaźnik interfejsu sieciowego z pakietu po jego wysłaniu, co może prowadzić do użycia zwolnionej pamięci. Problem dotyczy wersji od v2.6.0 do v4.4.0.

OliveTin w wersjach 3000.0.0 i wcześniejszych umożliwia dostęp do predefiniowanych poleceń powłoki z interfejsu webowego. Punkt końcowy ValidateArgumentType RPC nie wykonuje żadnych kontroli uwierzytelniania ani autoryzacji, co pozwala nieautoryzowanym użytkownikom na enumerację identyfikatorów powiązań akcji i ich konfiguracji argumentów.

W interfejsie webowym Intelbras iNVU 7016 FT w wersji 3.004.00IB000.0.T Build 2025-09-26 wykryto podatność na path traversal w pliku /RPC2_Loadfile/syslog/. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Podatność w Intelliants Subrion CMS do wersji 4.0.3. Nieznana funkcjonalność komponentu Blocks Endpoint pozwala na atak XSS poprzez manipulację argumentem CSS class name. Atak może być przeprowadzony zdalnie.

Podatność we wtyczce Store Locator do WordPressa (przed wersją 1.6.9) umożliwia użytkownikom z wysokimi uprawnieniami (np. administratorom) odczyt dowolnych plików .php na serwerze, w tym plików konfiguracyjnych z danymi logowania do bazy danych i kluczami uwierzytelniania.

Wtyczka Store Locator dla WordPress przed wersją 1.6.9 nie oczyszcza metadanych logo sklepu przed zapisem i wyświetleniem na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami (np. administratorom) na przeprowadzenie ataków Stored XSS, nawet gdy `unfiltered_html` jest wyłączone (np. w sieci multisite).

OpenClaw przed wersją 2026.5.6 zawiera podatność w obsłudze zdarzeń Mattermost, która nie waliduje metadanych typu kanału. Atakujący mogą ominąć politykę DM, wysyłając spreparowane zdarzenia Mattermost bez informacji o typie kanału, aby przetwarzać ograniczoną treść.

ApostropheCMS to system zarządzania treścią oparty na Node.js, który w wersjach do 4.30.0 ma lukę związaną z obsługą `prettyUrls`. Gdy ta opcja jest włączona, atakujący może wykorzystać nagłówek `Host` do wysyłania żądań HTTP do dowolnego hosta w sieci prywatnej.

W systemie zarządzania zasobami ludzkimi CodeAstro 1.0 odkryto lukę bezpieczeństwa, która dotyczy nieznanej części pliku /Projects/Add_Projects w komponencie Strona zarządzania projektami. Manipulacja argumentem protitle prowadzi do ataków typu cross site scripting.

Zidentyfikowano podatność w systemie zarządzania zasobami ludzkimi CodeAstro w wersji 1.0. Problem dotyczy nieznanej funkcjonalności pliku /dashboard/add_tod w interfejsie dashboard, gdzie manipulacja argumentem todo_data prowadzi do ataku typu cross-site scripting.

Parse Server przed wersjami 8.6.79 i 9.9.1-alpha.4 pozwalał na obejście domyślnej listy blokowanych rozszerzeń plików poprzez dodanie kropki na końcu nazwy pliku. To umożliwia atakującym przesyłanie plików z niebezpiecznymi typami MIME, co prowadzi do możliwości wykonania ataków XSS.

Zidentyfikowano podatność w aplikacji Groww Stock, Mutual Fund, Gold na Androida, która dotyczy nieznanej części komponentu WebView URL Handler. Manipulacja prowadzi do niewłaściwej autoryzacji w obsłudze niestandardowego schematu URL.

Quest Bot to otwartoźródłowy bot Discord, który przed wersją 1.1.6 nie tłumił wzmiankowania przy wywoływaniu komendy /warns, co mogło prowadzić do masowego pingowania użytkowników.