Katalog podatności CVE

W FacturaScripts w wersji 2025.61 występuje możliwość enumeracji nieuwierzytelnionych użytkowników. Aplikacja zwraca różne odpowiedzi przy próbie logowania z prawidłową i nieprawidłową nazwą użytkownika, co pozwala atakującemu zidentyfikować prawidłowe nazwy użytkowników na podstawie różnic w czasie odpowiedzi, komunikatach błędów lub kodach statusu HTTP.

W FacturaScripts w wersji 2025.61 występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana brakiem odpowiedniej walidacji lub sanityzacji danych wejściowych w polach 'city' i 'province' w endpoincie 'ListAlmacen'. Udana eksploatacja może pozwolić atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary lub eskalację uprawnień z zwykłego użytkownika do administratora.

Możliwe jest przeprowadzenie ataku DOM-based Cross-Site Scripting na panel administracyjny Stormshield. Aby wykorzystać tę podatność, atakujący musi spreparować URL zawierający złośliwy ładunek skryptu w określonym parametrze i nakłonić uwierzytelnionego administratora do odwiedzenia tego linku.

Zniekształcony nagłówek w pliku binarnym przekazanym do funkcji QBinaryJson::fromBinaryData() może spowodować niezdefiniowane zachowanie z powodu odczytu poza granicami bufora.

Usługa RemoteUserStoreManagerService nieprawidłowo waliduje próby zmiany hasła, gdy włączona jest funkcja weryfikacji historii haseł. Pozwala to atakującemu na wielokrotne próby odgadnięcia hasła bez odpowiednich ograniczeń.

Wtyczka DiviGear Carousel dla WordPress jest podatna na Stored Cross-Site Scripting poprzez akcję AJAX update_license we wszystkich wersjach do 5.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą wstrzyknąć dowolne skrypty internetowe do stron.

ArmorX Spam firmy ArmorX Global Technology zawiera podatność Command Injection. Uwierzytelnieni zdalni atakujący mogą wstrzyknąć spreparowane polecenia do określonego parametru, a tym samym przesłać złośliwy kod na serwer.

ArmorX Spam firmy ArmorX Global Technology zawiera podatność Local File Inclusion. Uwierzytelnieni zdalni atakujący mogą wykorzystać path traversal, aby zmusić aplikację do dołączenia plików PHP spoza zamierzonego katalogu.

W wersjach LIFF SDK od 2.20.0 do 2.31.0 występuje podatność DOM-based cross-site scripting (XSS), która pozwala atakującemu na wykonanie dowolnego kodu JavaScript w origin aplikacji LIFF, gdy użytkownik otworzy spreparowany URL w zewnętrznej przeglądarce. Może to prowadzić do ujawnienia tokenów uwierzytelniających lub danych aplikacji, albo nieautoryzowanych działań w sesji użytkownika.

fast-uri to parser i serializator URI zgodny z RFC 3986 dla Node.js. W wersjach przed 2.4.8, od 3.0.0 do 3.1.8 oraz od 4.0.0 do 4.2.2 funkcja fast-uri dekoduje procentowo komponent schematu za pomocą przestarzałej funkcji globalnej unescape() przed walidacją, co może prowadzić do przekształcenia nieaktywnego ciągu w wykonywalny URL javascript, data lub vbscript, tworząc wektor przechowywanego lub odbitego XSS. Luka jest naprawiona w wersjach 2.4.8, 3.1.9 i 4.2.3.

fast-uri to parser i serializator URI zgodny z RFC 3986 dla Node.js. W wersjach od 2.4.2 do 2.4.7, od 3.1.3 do 3.1.8 oraz od 4.0.1 do 4.2.2 funkcja canonicalizeHost() dla schematów HTTP przekazuje sparsowany host do parsera URL WHATWG i przyjmuje jego nazwę hosta bez sprawdzenia, czy parser zużył całe dane wejściowe jako host, co może prowadzić do cichego przepisania autorytetu. Może to pozwolić na obejście polityk opartych na hoście, takich jak listy blokad, filtrowanie loopback, walidacja przekierowań lub routing proxy. Luka jest naprawiona w wersjach 2.4.8, 3.1.9 i 4.2.3.

Wtyczka WordPress Easy Property Listings w wersjach przed 3.5.27 nie przeprowadza kontroli autoryzacji w kilku akcjach AJAX odczytu zarządzania kontaktami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z rolą tak niską jak subskrybent odczytanie rekordów kontaktów i leadów CRM innych użytkowników, w tym prywatnych notatek aktywności.

Wtyczka WordPress Easy Property Listings w wersjach przed 3.5.28 nie ogranicza, które pola oferty są dodawane do publicznego wyjścia REST API. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie szczegółów, które witryna zdecydowała się ukryć w opublikowanych ofertach, takich jak cena wywoławcza, cena sprzedaży, adres ulicy i dokładne współrzędne mapy.

W wielu rejestratorach DVR firmy Atsumi Electric Co., Ltd. występuje ukryta funkcjonalność. Użytkownik z uprawnieniami administratora może zaktualizować produkt do nieautoryzowanego oprogramowania układowego.

UnRTF projektu GNU jest podatny na zapis poza granicami bufora. Jeśli użytkownik otworzy przygotowany przez atakującego plik RTF, może to doprowadzić do odmowy usługi (DoS).

Podatność polegająca na nieprawidłowej autoryzacji w warstwie dostępu do danych (DAL) oprogramowania Zyxel EX3501-T0 w wersjach do 5.44(ACHR.6)C0. Uwierzytelniony atakujący może podnieść swoje uprawnienia, modyfikując dane login_privilege na urządzeniu.

Brak uwierzytelniania dla krytycznej funkcji w niektórych routerach ASUS pozwala nieautoryzowanemu użytkownikowi w pobliżu wysyłać określone polecenia przez żądania HTTP. Router zwraca informacje identyfikujące urządzenie i przełącza się w określony tryb, co może uniemożliwić automatyczne przywrócenie sprawności w sytuacjach awaryjnych.

Problem zapisu poza granicami bufora został naprawiony poprzez poprawę sprawdzania granic. Podatność została naprawiona w macOS Sequoia 15.8 i macOS Tahoe 26.7. Aplikacja może spowodować nieoczekiwane zakończenie działania systemu.

Problem prywatności został naprawiony poprzez poprawę mechanizmów sprawdzania. Podatność została naprawiona w macOS Golden Gate 27. Aplikacja może uzyskać dostęp do poufnych danych użytkownika.

Problem z autoryzacją został rozwiązany poprzez poprawę zarządzania stanem. Luka występuje w iOS 27, iPadOS 27 oraz macOS Golden Gate 27. Aplikacja może uzyskać dostęp do poufnych danych użytkownika.