Katalog podatności CVE

W instalatorze oprogramowania Eaton UPS Companion stwierdzono podatność związaną z nieprawidłowym cytowaniem ścieżek wyszukiwania, co może prowadzić do wykonania dowolnego kodu przez atakującego mającego dostęp do systemu plików. Problem został naprawiony w najnowszej wersji EUC.

Nozomi Networks Labs odkryło, że walidacja przychodzących wiadomości XML jest niewystarczająca, co może pozwolić atakującemu na XSS w przeglądarce użytkownika. Producent wydał poprawkę, szczegóły w raporcie producenta.

W Gitea przed wersją 1.20.1 można użyć zabronionego schematu URL, takiego jak javascript:, w linku, co prowadzi do XSS.

Nozomi Networks Labs odkryło nieodpowiednie zarządzanie uprawnieniami dla konta gościa kamery. Producent wydał poprawkę firmware, szczegóły i obejścia znajdują się w raporcie producenta.

W Gitea w wersjach przed 1.21.2 anonimowy użytkownik może odwiedzić projekt prywatnego użytkownika. Luka narusza prywatność i może prowadzić do nieautoryzowanego dostępu do informacji.

Gitea przed wersją 1.22.2 nieprawidłowo obsługuje propagację zakresu tokena do kontroli dostępu w jednym z własnych rejestrów pakietów.

Gitea w wersjach przed 1.21.8 nieumyślnie ujawnia czasy logowania użytkowników, na przykład poprzez sortowanie explore/users według lastlogintime. Luka może pozwolić na śledzenie aktywności użytkowników.

Gitea przed wersją 1.22.2 pozwala na XSS, ponieważ pole wyszukiwania (do tworzenia tagów i gałęzi) używa v-html zamiast v-text.

Gitea przed wersją 1.22.3 nieprawidłowo obsługuje dostęp do prywatnych zasobów po otrzymaniu tokena API z zakresem ograniczonym do zasobów publicznych.

W YunaiV yudao-cloud do wersji 2025.11 wykryto lukę w funkcjach BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger komponentu Business Process Management. Manipulacja argumentami url/header/body może prowadzić do server-side request forgery (SSRF). Atak można wykonać zdalnie, a exploit jest publicznie ujawniony.

Gitea w wersjach przed 1.25.2 nieprawidłowo obsługuje autoryzację przy usuwaniu wydań (releases). Luka może pozwolić nieuprawnionym użytkownikom na usunięcie wydań.

W systemie sunkaifei FlyCMS do wersji abbaa5a8daefb146ad4d61027035026b052cb414 odkryto podatność XSS w funkcji userLogin w pliku src/main/java/com/flycms/web/front/UserController.java. Manipulacja argumentem redirectUrl umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny i może być wykorzystany.

W sunkaifei FlyCMS do wersji abbaa5a8daefb146ad4d61027035026b052cb414 wykryto lukę w nieznanej funkcji pliku src/main/java/com/flycms/web/system/IndexAdminController.java w komponencie logowania administratora. Manipulacja argumentem redirectUrl prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.

Wtyczka WordPress Frontend Post Submission Manager Lite (Frontend Posting) do wersji 1.2.6 włącznie ma nieprawidłową kontrolę autoryzacji w funkcji 'media_delete_action'. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych załączników.

W oprogramowaniu JEPaaS (wersje do 7.2.8 włącznie) wykryto podatność w funkcji postilService.loadPostils w pliku /je/postil/postil/loadPostil. Manipulacja argumentem keyWord prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

W youlai-mall (wersje 1.0.0 i 2.0.0) wykryto podatność w funkcji submitOrderPayment w pliku OrderController.java. Manipulacja argumentem orderSn prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W youlai-mall w wersjach 1.0.0 i 2.0.0 wykryto słabość w funkcji getMemberByMobile w pliku mall-ums/ums-boot/src/main/java/com/youlai/mall/ums/controller/app/MemberController.java. Manipulacja powoduje niewłaściwą kontrolę dostępu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

ONLYOFFICE Docs przed wersją 9.2.1 zawiera podatność XSS związaną z nazwą motywu kolorów, co może pozwolić na wstrzyknięcie złośliwego skryptu.

Podatność XSS w ONLYOFFICE Docs przed wersją 9.2.1, występująca w polu Font w oknie ustawień listy wielopoziomowej. Problem dotyczy komponentu DocumentServer.

W aplikacji youlai-mall (wersje 1.0.0 i 2.0.0) wykryto błąd bezpieczeństwa w funkcji deductBalance w pliku MemberController.java. Manipulacja danymi prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.