Katalog podatności CVE

Zohocorp ManageEngine Applications Manager w wersjach 177400 i poniżej jest podatny na podatność Stored Cross-Site Scripting w widoku NOC. Podatność może pozwolić atakującemu na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce ofiary.

W SoliClub od Utarit Informatics Services Inc. występuje luka związana z brakiem autoryzacji, która umożliwia nadużycie uprawnień. Problem dotyczy wersji przed 5.3.7.

Znaki Unicode RTLO mogą pozwolić złośliwym stronom na podszywanie się pod nazwy plików w interfejsie pobierania w Firefoksie dla iOS, potencjalnie oszukując użytkowników, aby zapisali pliki nieoczekiwanego typu. Podatność została naprawiona w Firefoksie dla iOS 144.0.

Prywatne klucze SSH reguły "Remote alert handlers (Linux)" zostały ujawnione w kodzie HTML strony reguły w Checkmk do wersji 2.4.0p18 oraz we wszystkich wersjach 2.3.0. Może to pozwolić nieautoryzowanemu wyzwalaniu predefiniowanych procedur alertów na hostach, gdzie procedura jest wdrożona.

W funkcji Time Machine Snapshot Diff wykryto podatność typu przechowywane wstrzyknięcie HTML wynikającą z nieprawidłowej walidacji danych ruchu sieciowego. Nieuwierzytelniony atakujący może wysłać specjalnie spreparowane pakiety sieciowe w dwóch różnych momentach, aby wstrzyknąć znaczniki HTML do atrybutów zasobów w dwóch snapshotach; wykorzystanie wymaga od ofiary użycia funkcji Snapshot Diff i wykonania określonych akcji w GUI, co umożliwia ataki phishingowe i otwarte przekierowania. Pełne wykorzystanie XSS jest uniemożliwione przez walidację danych wejściowych i Content Security Policy, a złożoność ataku jest wysoka ze względu na wiele wymaganych warunków.

Niewystarczająca walidacja uprawnień w Checkmk przed wersjami 2.4.0p17 i 2.3.0p42 pozwala użytkownikom z niskimi uprawnieniami na przeglądanie informacji o agentach przez REST API, co może prowadzić do ujawnienia informacji.

Wtyczka InstaWP Connect zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 0.1.1.9 włącznie.

Motyw XStore od 8theme jest podatny na brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji przed 9.6.

Wtyczka WebinarIgnition (od n/a do wersji 4.06.04) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wtyczki WebinarIgnition.

Wtyczka MapSVG dla RomanCode zawiera podatność typu Path Traversal (niewłaściwe ograniczenie ścieżki do katalogu), występującą w wersjach przed 8.6.12.

Brak autoryzacji w miniOrange's Google Authenticator (miniorange-2-factor-authentication) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 6.1.1 włącznie.

Bio.Entrez w Biopython do wersji 186 pozwala na atak XXE (XML External Entity) poprzez doctype. Luka może pozwolić na odczyt plików lub wykonanie żądań sieciowych z serwera.

W ZZCMS 2025 wykryto podatność w funkcji stripfxg pliku /admin/siteconfig.php w komponencie Backend Website Settings Module. Manipulacja argumentem icp prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.

Bludit w wersjach przed 3.13.0 zawiera podatność uwierzytelnionego pobierania plików w wtyczce Backup, pozwalającą zalogowanym użytkownikom na dostęp do dowolnych plików. Atakujący może manipulować parametrami ścieżki pliku, aby odczytać wrażliwe pliki systemowe poprzez traversal katalogów.

W SDK Auth0-PHP walidacja odbiorcy (audience) tokenów dostępu jest przeprowadzana nieprawidłowo. W wyniku tego aplikacje mogą akceptować tokeny ID jako tokeny dostępu. Problem dotyczy wersji Auth0-PHP od v8.0.0 do v8.17.0 oraz zależnych SDK (Symfony, Laravel, WordPress) korzystających z tych wersji.

Capstone to framework do deasemblacji. W wersjach 6.0.0-Alpha5 i wcześniejszych, niesprawdzony zwrot vsnprintf w SStream_concat pozwala złośliwemu cs_opt_mem.vsnprintf na przesunięcie indeksu SStream na ujemną wartość lub poza koniec, co prowadzi do przepełnienia/niepełnienia bufora stosu przy następnym zapisie. Poprawka w commicie 2c7797182a1618be12017d7d41e0b6581d5d529e.

W systemie ChurchCRM przed wersją 6.5.3 występuje podatność na eskalację uprawnień. Uwierzytelniony użytkownik z uprawnieniami "Edit Records" i "Manage Properties and Classifications" może wstrzyknąć trwały ładunek XSS do profilu administratora, który wykonuje się, gdy administrator wyświetla własny profil. Podatność łączy IDOR (możliwość przeglądania profili innych użytkowników) oraz błędną kontrolę dostępu (możliwość modyfikacji rekordów innych użytkowników).

Capstone to framework do deasemblacji. W wersjach 6.0.0-Alpha5 i wcześniejszych, długość Skipdata nie jest sprawdzana pod kątem granic, więc dostarczony przez użytkownika callback skipdata może spowodować, że cs_disasm/cs_disasm_iter skopiuje więcej niż 24 bajty do cs_insn.bytes, co prowadzi do przepełnienia bufora na stercie w ścieżce deasemblacji. Commit cbef767ab33b82166d263895f24084b75b316df3 naprawia problem.

Wykryto problem w DriveLock 24.1 do 24.1.*, 24.2 przed 24.2.8 i 25.1 przed 25.1.6: katalogi i pliki tworzone przez agenta mają zbyt liberalne ACL, co pozwala lokalnym użytkownikom bez uprawnień administratora na wyzwalanie akcji lub destabilizację agenta.