Katalog podatności CVE

Wtyczka Wizit Gateway for WooCommerce dla WordPressa jest podatna na nieuwierzytelnione dowolne anulowanie zamówień we wszystkich wersjach do 1.3.1 włącznie. Wynika to z braku kontroli uwierzytelniania i autoryzacji w funkcji 'handle_checkout_redirecturl_response'. Umożliwia to nieuwierzytelnionym atakującym anulowanie dowolnych zamówień WooCommerce poprzez wysłanie spreparowanego żądania z prawidłowym identyfikatorem zamówienia.

Avahi w wersjach 0.9rc2 i starszych pozwala na zawieszenie avahi-daemon poprzez wysłanie nieoczekiwanej odpowiedzi mDNS zawierającej rekurencyjny rekord CNAME, w którym alias i nazwa kanoniczna wskazują tę samą domenę. Powoduje to nieograniczoną rekurencję w funkcji lookup_handle_cname i wyczerpanie stosu. Podatność dotyczy przeglądarek rekordów z ustawionym AVAHI_LOOKUP_USE_MULTICAST, w tym tworzonych przez resolvery używane przez nss-mdns.

Podatność w backendzie PHP systemu gemscms.aptsys.com.sg (do 28 maja 2025) umożliwia nieuwierzytelnionym atakującym zdalne wywołanie szczegółowych komunikatów błędów, które ujawniają wewnętrzne ścieżki plików, fragmenty kodu źródłowego oraz ślady stosu wywołań. Wystarczy wysłać specjalnie spreparowane żądania HTTP GET/POST do publicznych punktów końcowych API.

Podatność w backendzie PHP aplikacji gemsloyalty.aptsys.com.sg (do 2025-05-28) pozwala nieuwierzytelnionym atakującym na wywołanie szczegółowych komunikatów błędów, które ujawniają wewnętrzne ścieżki plików, fragmenty kodu i ślady stosu. Wystarczy wysłać specjalnie spreparowane żądania HTTP GET/POST do publicznych punktów końcowych API.

LavaLite CMS w wersjach do 10.1.0 zawiera podatność na trwałe cross-site scripting (XSS) w funkcji tworzenia i wyszukiwania pakietów. Zautoryzowani użytkownicy mogą wstrzyknąć złośliwy kod HTML lub JavaScript w pola Nazwa lub Opis pakietu, który jest przechowywany i wyświetlany bez odpowiedniego kodowania w wynikach wyszukiwania. Gdy inni użytkownicy przeglądają wyniki zawierające złośliwy pakiet, skrypt wykonuje się w ich przeglądarkach.

W jądrze Linux wykryto wyciek licznika referencji w funkcji bpf_prog_test_run_xdp(). Problem pojawia się, gdy ścieżka obsługi błędów nie wywołuje xdp_convert_buff_to_md(), co prowadzi do blokowania interfejsu sieciowego (np. sit0) i uniemożliwia jego zwolnienie.

W jądrze Linux w sterowniku idpf występuje błąd, który podczas soft resetu zwalnia tablicę RSS LUT i nie przywraca jej, jeśli interfejs nie jest aktywny. Wywołanie polecenia ethtool odczytującego RSS LUT zaraz po resecie powoduje dereferencję wskaźnika NULL i panikę jądra.

W jądrze Linux w nfsd, próba odblokowania systemu plików przez interfejs administracyjny, gdy nfsd nie działa, powoduje awarię serwera. Dzieje się tak, ponieważ nfsd4_revoke_states() uzyskuje dostęp do struktur stanu (np. conf_id_hashtbl), które zostały zwolnione podczas wyłączania serwera.

W jądrze Linux w sterowniku idpf występuje błąd, który powoduje zerwanie wskaźnika NULL (NULL pointer dereference) podczas wczesnych operacji ethtool, takich jak włączanie/wyłączanie rxhash, wykonywanych przed pierwszym podniesieniem interfejsu. Przyczyną jest brak inicjalizacji tablicy RSS LUT do momentu uruchomienia interfejsu. Poprawka przenosi inicjalizację LUT do momentu tworzenia vportu, dzięki czemu jest ona zawsze dostępna.

W sterowniku sieciowym ocelot dla układów Microsemi występuje błąd powodujący awarię (crash) podczas dodawania interfejsu do grupy LAG. Problem wynika z wyłuskania wskaźnika NULL w funkcji ocelot_set_aggr_pgids(), gdy port nie jest zarejestrowany (dotyczy frontendu ocelot_vsc7514.c).

W jądrze Linux w sterowniku idpf naprawiono błąd związany z obsługą resetu. Podczas resetu sprzętowego lub programowego sterownik zwalniał zasoby vport, ale interfejsy sieciowe (netdev) pozostawały aktywne i narażone na wywołania zwrotne, co mogło prowadzić do utraty stanu vport lub awarii jądra (NULL pointer dereference) przy kolejnym ifup/down.

W jądrze Linux wykryto wyciek pamięci w funkcji skb_segment_list() używanej do segmentacji pakietów GRO. Problem wynika z nieaktualnej logiki księgowania rozmiaru (truesize) po zmianie sposobu orphania fragmentów w commit ed4cccef64c1. Powoduje to trwałe blokowanie zwalniania gniazd sieciowych.

W jądrze Linux naprawiono podatność w module netfilter nf_tables, która mogła powodować zawieszenie CPU (soft lockup) podczas walidacji łańcuchów w nft_chain_validate(). Problem wynikał z niepotrzebnego ponownego sprawdzania tych samych łańcuchów przy przechodzeniu grafu reguł, co prowadziło do nadmiernego obciążenia procesora.

W jądrze Linux w sterowniku net: usb: rtl8150 występuje wyciek pamięci, gdy usb_submit_urb() zakończy się niepowodzeniem w async_set_registers(). Zaalokowana struktura async_req i URB nie są zwalniane, ponieważ callback ukończenia nigdy nie zostaje wywołany.

W jądrze Linuxa zidentyfikowano podatność związana z wyciekiem pamięci w funkcji 'tpm2_load_cmd'. Problem polega na tym, że tymczasowy obiekt jest alokowany, ale nie jest zwalniany w przypadku błędów.

Podatność CVE-2025-2204 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Tap&Sign firmy Tapandsign Technologies. Umożliwia to ataki typu Cross-Site Scripting (XSS).

Biblioteka sigstore/sigstore w wersjach 1.10.3 i starszych zawiera podatność w starszym kliencie TUF, który nie weryfikuje, czy ścieżka pliku docelowego mieści się w katalogu bazowym pamięci podręcznej. Złośliwe repozytorium TUF może spowodować nadpisanie dowolnych plików z uprawnieniami procesu wywołującego.

Wykryto słabość uwierzytelniania w kontrolerach, bramkach i punktach dostępowych Omada podczas procesu adopcji urządzeń, wynikającą z nieprawidłowego obsługiwania wartości losowych. Eksploatacja wymaga zaawansowanej pozycji w sieci i umożliwia atakującemu przechwycenie ruchu adopcyjnego oraz sfałszowanie poprawnego uwierzytelnienia poprzez wcześniejsze obliczenia, co może ujawnić wrażliwe informacje i naruszyć poufność.

Rekor w wersjach 1.4.3 i starszych pozwala na SSRF do dowolnych usług wewnętrznych, ponieważ /api/v1/index/retrieve obsługuje pobieranie klucza publicznego z adresu URL podanego przez użytkownika. SSRF może wywoływać tylko żądania GET, nie zmienia stanu, a odpowiedź nie jest zwracana, więc możliwy jest jedynie blind SSRF (sondujący sieć wewnętrzną).

W Rekor (log przejrzystości łańcucha dostaw oprogramowania) w wersjach 1.4.3 i starszych implementacja wpisu może spowodować panikę przy przetwarzaniu danych kontrolowanych przez atakującego, gdy kanonizowany jest proponowany wpis z pustym polem spec.message. Funkcja validate() zwraca nil (sukces) dla pustej wiadomości, pozostawiając sign1Msg niezainicjalizowany, a Canonicalize() później dereferencjonuje v.sign1Msg.Payload, co prowadzi do dereferencji wskaźnika nil. Wątek jest odzyskiwany, więc klient otrzymuje błąd 500, a usługa działa dalej, więc wpływ na dostępność jest minimalny. Problem naprawiono w wersji 1.5.0.