Katalog podatności CVE

W SourceCodester Alumni Management System 1.0 zidentyfikowano słabość w nieznanej funkcji pliku /manage_career.php. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Zdalne wykorzystanie ataku jest możliwe, a exploit został udostępniony publicznie i może być wykorzystany.

W aplikacji Lenovo Scanner pro wykryto podatność podczas wewnętrznej oceny bezpieczeństwa, która w pewnych okolicznościach może pozwolić atakującemu w tej samej sieci logicznej na ujawnienie poufnych plików użytkownika z aplikacji.

Dell SmartFabric OS10 Software przed wersją 10.6.1.0 zawiera podatność na wstrzykiwanie kodu (Code Injection). Atakujący z wysokimi uprawnieniami i lokalnym dostępem może wykorzystać tę podatność do wykonania kodu.

W bibliotece airpig2011 IEC104 do commita be6d841 (2019-07-08) występuje podatność heap-use-after-free. W trakcie wielowątkowego działania klienta funkcja Iec10x_Scheduled może odwoływać się do zwolnionej pamięci, co może powodować awarie lub niezdefiniowane zachowanie.

W module Business Line Management w Xxl-api v1.3.0 występuje podatność stored cross-site scripting (XSS), umożliwiająca wykonanie dowolnych skryptów lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru Name.

W Campcodes School Fees Payment Management System 1.0 zidentyfikowano podatność w nieznanej funkcji pliku /ajax.php?action=save_student. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.

W xxl-api v1.3.0 występuje podatność Cross-Site Request Forgery (CSRF), która pozwala atakującym dowolnie dodawać użytkowników do modułu zarządzania za pomocą spreparowanego żądania GET.

Omnissa Workspace ONE UEM zawiera podatność polegającą na rozbieżności w odpowiedziach (observable response discrepancy). Atakujący może wyliczyć poufne informacje, takie jak identyfikator tenanta i konta użytkowników. Ułatwia to ataki brute-force, password-spraying i credential-stuffing.

W CrushFTP 11.3.6_48 występuje podatność Cross Site Scripting (XSS). Funkcja udostępniania plików odzwierciedla nazwę pliku w polu treści e-mail bez sanityzacji, co prowadzi do wstrzyknięcia HTML.

W produkcie CentralSquare Community Development 19.5.7 występuje podatność Cross-Site Scripting (XSS) poprzez pola formularzy.

Podatność w kdcproxy pozwala atakującemu na przeprowadzenie ataku DoS poprzez wysłanie nieograniczonej ilości danych w odpowiedzi KDC, co prowadzi do nadmiernego zużycia pamięci i CPU. Brak kontroli długości odpowiedzi TCP oraz nieefektywne zarządzanie buforami powodują, że serwer może zostać przeciążony nawet przy pojedynczym żądaniu.

W funkcji generowania raportu w WinRAR 7.11 występuje podatność cross-site scripting (XSS). Polecenie generowania raportu umieszcza nazwy archiwizowanych plików bez walidacji w raporcie HTML, co pozwala na wstrzyknięcie złośliwych tagów HTML i ujawnienie informacji takich jak nazwa użytkownika komputera, katalog raportu i adres IP.

N-central w wersji przed 2025.4 może generować identyfikatory sesji (sessionIDs) dla nieuwierzytelnionych użytkowników. Może to umożliwić nieautoryzowany dostęp do systemu.

Występuje podatność CWE-307 polegająca na niewłaściwym ograniczeniu nadmiernej liczby prób uwierzytelniania. Atakujący w sieci lokalnej może uzyskać dostęp do konta użytkownika, wykonując dowolną liczbę prób uwierzytelnienia z różnymi danymi na endpointcie /REST/shutdownnow.

W lightdm-kde-greeter występuje podatność wykonania z niepotrzebnymi uprawnieniami, umożliwiająca eskalację z użytkownika usługi do roota. Problem dotyczy wersji przed 6.0.4.

W jądrze Linuxa naprawiono podatność związaną z używaniem funkcji smp_processor_id() w kodzie, który może być przerywany. Zgłoszenie błędu dotyczyło ostrzeżenia generowanego przez dhcpcd, które wskazywało na niewłaściwe użycie tej funkcji w kontekście przerywalnym.

Wtyczka Specific Content For Mobile – Customize the mobile version without redirections dla WordPress jest podatna na SQL Injection poprzez funkcję eos_scfm_duplicate_post_as_draft() we wszystkich wersjach do 0.5.5 włącznie. Wynika to z niewystarczającego escapowania parametru dostarczanego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL.

Brak autoryzacji w Apache OpenOffice pozwala atakującemu na przygotowanie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika. Linki te mogą służyć do przesyłania informacji systemowych, takich jak zmienne środowiskowe lub ustawienia konfiguracyjne.

W Apache OFBiz występuje podatność typu reflected cross-site scripting (XSS). Problem dotyczy wersji przed 24.09.03.

Błąd walidacji Origin w Kibana może prowadzić do Server-Side Request Forgery poprzez sfałszowany nagłówek HTTP Origin przetwarzany przez Observability AI Assistant.