Katalog podatności CVE

esm.sh przed wersją 136 zawiera podatność na wstrzyknięcie wyrażeń szablonowych (CWE-94) w konwersji CSS do modułu JavaScript. Złośliwy kod JavaScript wstawiony przez wyrażenia ${...} w plikach CSS wykonuje się przy imporcie modułu, umożliwiając XSS w przeglądarkach i RCE w aplikacjach Electron.

Rallly to open-source'owe narzędzie do planowania i współpracy. Przed wersją 4.5.4 podatność Insecure Direct Object Reference (IDOR) w punkcie końcowym duplikacji ankiet (/api/trpc/polls.duplicate) pozwala każdemu uwierzytelnionemu użytkownikowi na duplikowanie ankiet, których nie jest właścicielem, poprzez modyfikację parametru pollId. Omija to kontrolę dostępu i pozwala nieuprawnionym użytkownikom klonować prywatne lub administracyjne ankiety.

Astro to framework webowy. W wersjach przed 5.15.9, przy użyciu adaptera Cloudflare (@astrojs/cloudflare) z output: 'server', endpoint optymalizacji obrazów (/_image) zawiera krytyczną podatność w funkcji isRemoteAllowed(), która bezwarunkowo zezwala na adresy URL z protokołem data:. Umożliwia to ataki XSS poprzez złośliwe ładunki SVG, omijając ograniczenia domen i politykę CSP.

W Astro przed wersją 5.15.8 istnieje niezgodność między normalizacją ścieżek żądań do routingu a odczytem ścieżki przez middleware. Astro stosuje decodeURI(), a middleware używa context.url.pathname bez tej normalizacji, co może pozwolić na obejście kontroli walidacji.

authentik to open-source'owy dostawca tożsamości. Przed wersjami 2025.8.5 i 2025.10.2 zaproszenia były uznawane za ważne niezależnie od tego, czy wygasły, polegając na zadaniach w tle usuwających wygasłe zaproszenia, co może zająć do 5 minut lub dłużej przy dużym obciążeniu.

authentik to otwartoźródłowy dostawca tożsamości. W wersjach przed 2025.8.5 i 2025.10.2, podczas uwierzytelniania za pomocą client_id i client_secret u dostawcy OAuth, authentik tworzy konto usługi dla dostawcy. W poprzednich wersjach authentik uwierzytelnianie dla tego konta było możliwe nawet gdy konto było dezaktywowane. Inne uprawnienia są poprawnie stosowane, a federacja z innymi dostawcami nadal uwzględnia przypisane zasady. Wersje authentik 2025.8.5 i 2025.10.2 naprawiają ten problem. Obejście polega na dodaniu zasady do aplikacji, która jawnie sprawdza, czy konto usługi jest nadal ważne, i odmawia dostępu, jeśli nie jest.

eGovFrame Common Components w wersjach do 4.3.1 zawiera nieuwierzytelnioną podatność na przesyłanie plików przez endpointy /utl/wed/insertImage.do i /utl/wed/insertImageCk.do. Atakujący może przesłać dowolną treść, a serwer przechowuje plik i zwraca URL do pobrania, co pozwala na wykorzystanie aplikacji jako hostingu plików.

W urządzeniach AudioCodes Fax Server i Auto-Attendant IVR (wersje do 2.6.23) komponent webowy F2MAdmin udostępnia nieuwierzytelniony endpoint do przesyłania plików (ajaxPromptUploadFile.php). Zdalny atakujący może przesyłać lub nadpisywać pliki w katalogu C:\F2MAdmin\tmp bez uwierzytelnienia i walidacji typu pliku.

Konsola zarządzania BlackBerry AtHoc (OnPrem) w wersji 7.21 zawiera podatność typu Insecure Direct Object Reference (IDOR), która może pozwolić atakującemu na uzyskanie nieautoryzowanej wiedzy o innych organizacjach hostowanych w tym samym systemie Interactive Warning System (IWS).

Punkt końcowy Looker do generowania nowych projektów z połączeń bazodanowych pozwala podać nazwę połączenia "looker", zarezerwowaną dla wewnętrznej bazy MySQL Looker. Parametr schemas jest podatny na wstrzyknięcie SQL, co umożliwia atakującym manipulowanie zapytaniami SELECT wykonywanymi na wewnętrznej bazie MySQL i wyodrębnienie danych przez użytkowników z uprawnieniami deweloperskimi.

W komponencie /ecommerce/products.php projektu E-commerce Project w wersji 1.0 i wcześniejszych występuje podatność typu reflected XSS. Atakujący może wstrzyknąć złośliwy ładunek do parametru id, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika.

W aplikacji Github Restaurant Website Restoran v1.0 wykryto podatność na wstrzyknięcie SQL (SQL injection) poprzez stronę formularza kontaktowego.

W code-projects Courier Management System 1.0 wykryto podatność SQL injection w pliku /add-office.php. Manipulacja argumentem OfficeName pozwala na wstrzyknięcie SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony.

W funkcji zmiany hasła w Pixeon WebLaudos 25.1 (01) występuje podatność typu reflected XSS. Parametr sle_sSenha w pliku loginAlterarSenha.asp pozwala atakującemu na stworzenie złośliwego adresu URL, który po odwiedzeniu przez ofiarę powoduje wykonanie dowolnego kodu JavaScript w jej przeglądarce w kontekście aplikacji.

Podatność CVE-2025-11963 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w StarCities, co pozwala na ataki typu Reflected XSS. Problem ten występuje w wersjach przed 1.1.61.

Podatność CVE-2025-0421 dotyczy niewłaściwego ograniczenia renderowanych warstw interfejsu użytkownika lub ramek w oprogramowaniu Shopside firmy Shopside Software Technologies Inc. Problem ten występuje w wersji Shopside do 05022025, umożliwiając wykorzystanie nakładek iFrame.

Apache Causeway jest podatny na deserializację Java umożliwiającą zdalne wykonanie kodu (RCE) poprzez parametry URL kontrolowane przez użytkownika. Podatność dotyczy wszystkich aplikacji korzystających z funkcji ViewModel Causeway i może być wykorzystana przez uwierzytelnionego atakującego do wykonania dowolnego kodu z uprawnieniami aplikacji.

W Fortinet FortiADC 8.0.0, 7.6.0 do 7.6.3, 7.4 wszystkich wersji i 7.2 wszystkich wersji występuje podatność typu basic XSS wynikająca z nieprawidłowej neutralizacji tagów HTML związanych ze skryptami. Atakujący może wykonać nieautoryzowany kod lub polecenia poprzez spreparowany URL.

W upKeeper Manager występuje podatność polegająca na zapisywaniu poufnych informacji w plikach logów, co umożliwia wykorzystanie znanych poświadczeń domenowych. Problem dotyczy wersji od 5.2.0 przed 5.2.12.

Wtyczka SiteSEO – SEO Simplified dla WordPressa jest podatna na niewłaściwą autoryzację prowadzącą do ujawnienia wrażliwych metadanych postów w wersjach do 1.3.2 włącznie. Z powodu braku sprawdzenia autoryzacji na poziomie obiektu w obsłudze AJAX resolve_variables() uwierzytelnieni atakujący z uprawnieniem siteseo_manage (np. użytkownicy na poziomie Autora, którym administrator przyznał dostęp do SiteSEO) mogą odczytać dowolne metadane postów, stron, załączników lub zamówień WooCommerce, których nie mogą edytować, poprzez funkcję rozwiązywania zmiennych pól niestandardowych, pod warunkiem że mają dostęp do SiteSEO i włączone jest starsze przechowywanie. W dotkniętych instalacjach WooCommerce ujawnia to wrażliwe dane rozliczeniowe klientów, w tym imiona i nazwiska, adresy e-mail, numery telefonów, adresy fizyczne i metody płatności.