Katalog podatności CVE

Podatność w produkcie Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: Security). Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z logowaniem do infrastruktury na uzyskanie nieautoryzowanego dostępu do odczytu podzbioru danych.

Podatność w produkcie MySQL Server firmy Oracle MySQL w komponencie Server: Information Schema. Dotyczy wersji 8.0.0-8.0.45, 8.4.0-8.4.8 oraz 9.0.0-9.6.0. Łatwo wykorzystywalna podatność pozwala uprzywilejowanemu atakującemu z dostępem sieciowym na nieautoryzowany odczyt podzbioru danych.

W mailcow w wersjach przed 2026-03b interfejs webowy przekazuje surowy parametr $_SERVER['REQUEST_URI'] do Twig jako zmienną globalną i renderuje go w literale ciągu JavaScript w helperze setLang() w base.twig, polegając na domyślnym escapowaniu HTML zamiast escapowania w kontekście JS. Dodatkowo helper query_string() scala parametry $_GET w linki przełączania języka na stronie logowania, przez co parametry dostarczone przez atakującego są odzwierciedlane i zachowywane podczas nawigacji. Wersja 2026-03b naprawia podatność.

W WebSystems WebTOTUM 2026 wykryto podatność typu cross-site scripting w komponencie Calendar. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Producent szybko wydał poprawioną wersję produktu.

W systemie CMS October przed wersjami 3.7.16 i 4.1.16 nie egzekwowano szczegółowych poduprawnień dla operacji na plikach zasobów i blueprintów w rozszerzeniach CMS oraz Tailor. Użytkownicy backendu z dostępem edytora, którym odebrano konkretnie uprawnienia editor.cms_assets lub editor.tailor_blueprints, mogli mimo to tworzyć, usuwać, zmieniać nazwy, przenosić i przesyłać pliki. Powiązany błąd priorytetu operatorów w nawigacji Tailor ujawniał drzewo katalogów blueprintów motywu.

W systemie CMS October przed wersjami 3.7.16 i 4.1.16 wykryto podatność typu reflected Cross-Site Scripting (XSS) w widżecie backendowym DataTable, gdzie parametr zapytania był renderowany bez prawidłowego kodowania wyjścia. Podatność została naprawiona w wersjach 3.7.16 i 4.1.16.

HCL BigFix Service Management jest podatny na przemyt żądań HTTP (HTTP Request Smuggling). Podatności tego typu pojawiają się, gdy witryny kierują żądania HTTP przez serwery WWW z niespójnym parsowaniem HTTP, co pozwala atakującym ominąć kontrolę bezpieczeństwa i przeprowadzić ataki takie jak zatruwanie pamięci podręcznej lub przechwytywanie żądań.

PcManager zawiera podatność typu privilege bypass (obejście uprawnień). Udana eksploatacja może wpłynąć na dostępność usługi.

W aplikacji erponline.xyz ERP Online do wersji 4.0.0 wykryto podatność Cross-Site Scripting (XSS) w komponencie Inventory Edit Item Page. Manipulacja argumentem Item Name pozwala na zdalne wykonanie ataku, a publiczny exploit jest już dostępny. Producent nie odpowiedział na zgłoszenie.

W Qibo CMS 1.0 wykryto podatność typu cross-site scripting w module Internal Message Module. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.

W systemie Yifang CMS do wersji 2.0.5 odkryto lukę cross-site scripting w funkcji store pliku plugins/yifang_backend_account/logic/admin/L_rbac_admin.php komponentu Extended Management Module. Manipulacja argumentem Account prowadzi do wstrzyknięcia skryptu. Atak można wykonać zdalnie, a exploit jest publicznie dostępny.

Gdy sed jest wywoływany z opcjami -i (edycja w miejscu) i --follow-symlinks, funkcja open_next_file() wykonuje dwie nieatomowe operacje na tej samej ścieżce: najpierw rozwiązuje dowiązanie symboliczne do celu, a następnie otwiera oryginalną ścieżkę dowiązania do odczytu. Między tymi wywołaniami istnieje okno wyścigu, w którym atakujący może podmienić dowiązanie, powodując odczyt treści z nowego celu i zapis wyniku do wcześniej zapisanej ścieżki. Może to prowadzić do nadpisania dowolnego pliku treścią kontrolowaną przez atakującego. Problem naprawiono w wersji 4.10.

W BichitroGan ISP Billing Software 2025.3.20 wykryto podatność Cross-Site Scripting (XSS) w interfejsie Pool List Interface (plik /?_route=pool/add). Manipulacja danymi wejściowymi umożliwia zdalny atak, a publiczny exploit jest dostępny. Producent nie odpowiedział na zgłoszenie.

W BichitroGan ISP Billing Software 2025.3.20 odkryto podatność Cross-Site Scripting (XSS) w komponencie Profile Page Handler (plik /?_route=settings/users-view/). Manipulacja danymi wejściowymi umożliwia zdalne przeprowadzenie ataku. Producent nie odpowiedział na zgłoszenie.

W BichitroGan ISP Billing Software 2025.3.20 zidentyfikowano podatność Cross-Site Scripting (XSS) w komponencie Customer Handler (plik /?_route=customers/edit/). Manipulacja danymi wejściowymi prowadzi do zdalnego ataku, a publiczny exploit jest dostępny. Producent nie odpowiedział na zgłoszenie.

W langgenius dify do wersji 1.13.3 wykryto podatność Cross-Site Scripting (XSS) w funkcji openInNewTab pliku web/app/components/base/image-uploader/image-preview.tsx (komponent ImagePreview). Manipulacja argumentem filename umożliwia zdalny atak, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.

W projekcie liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność polegającą na użyciu zaszyfrowanego klucza zapisanego na stałe w pliku djangoblog/settings.py komponentu File Upload Endpoint. Manipulacja argumentem SECRET_KEY prowadzi do użycia hardkodowanego klucza kryptograficznego. Eksploatacja zdalna jest możliwa, ale złożoność ataku ocenia się jako wysoką, a eksploatowalność jako trudną.

Wtyczka WordPress Email Encoder przed wersją 2.3.4 nie sanityzuje i nie escapuje niektórych ustawień, co może pozwolić użytkownikom o wysokich uprawnieniach, takim jak administrator, na przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest wyłączona (np. w konfiguracji multisite).

W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto lukę w nieznanej funkcji pliku djangoblog/settings.py, związaną z obsługą ustawień. Manipulacja argumentami USER/PASSWORD prowadzi do osadzenia poufnych danych uwierzytelniających na stałe w kodzie (hard-coded credentials). Atak można przeprowadzić zdalnie, ale wymaga wysokiego poziomu złożoności. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

W langflow-ai langflow do wersji 1.8.3 wykryto podatność w komponencie renderowania React (plik edit-message.tsx). Manipulacja danymi wejściowymi może prowadzić do cross-site scripting (XSS). Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.