Katalog podatności CVE

SourceCodester User Account Generator 1.0 zawiera podatność Cross-Site Scripting (XSS) w polu Username Prefix. Z powodu niewłaściwej sanityzacji danych wejściowych podczas renderowania wygenerowanych danych konta do DOM możliwe jest trwałe wstrzyknięcie złośliwych elementów HTML, które wykonują się po kliknięciu przez użytkownika.

W SourceCodester "MatchMaster" 1.0 występuje podatność typu cross-site scripting (XSS), która pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML poprzez spreparowane dane wejściowe w funkcji tworzenia niestandardowych testów. Luka wynika z braku właściwej sanityzacji danych użytkownika w tytułach testów i elementach par przed renderowaniem ich w DOM.

W AstrBot Project v3.5.22 występuje podatność umożliwiająca odczyt dowolnego pliku w funkcji _encode_image_bs64. Funkcja ta otwiera obraz wskazany przez użytkownika w treści żądania i zwraca jego zawartość jako ciąg base64 bez sprawdzania poprawności ścieżki, co pozwala atakującym na odczyt dowolnych plików i wyciek danych.

W systemie Campcodes School File Management 1.0 wykryto podatność w nieznanej części pliku /admin/update_user.php. Manipulacja argumentem user_id prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.

W wersjach Amazon Ion-C <v1.1.4 występuje problem odczytu niezainicjalizowanej pamięci stosu, który może pozwolić atakującemu na przygotowanie danych i serializowanie ich do formatu Ion text w taki sposób, że wrażliwe dane w pamięci mogą zostać ujawnione poprzez sekwencje ucieczki UTF-8. Aby złagodzić problem, użytkownicy powinni zaktualizować do wersji v1.1.4.

W produkcie GE Vernova Smallworld na Windows i Linux występuje podatność typu path traversal (niewłaściwe ograniczenie ścieżki do katalogu), która umożliwia manipulację plikami. Problem dotyczy wersji 5.3.5 i wcześniejszych.

W aplikacji Onlook w wersji 0.2.32 występuje podatność Open Redirect w obsłudze callbacku OAuth w pliku onlook/apps/web/client/src/app/auth/callback/route.ts. Aplikacja ufa nagłówkowi X-Forwarded-Host bez odpowiedniej walidacji przy konstruowaniu adresu przekierowania, co umożliwia zdalnemu atakującemu przekierowanie uwierzytelnionego użytkownika na dowolną zewnętrzną stronę.

W projectworlds Online Notes Sharing Platform 1.0 wykryto lukę w nieznanej funkcjonalności pliku /dashboard/userprofile.php. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.

W rymcu forest do commita f782e85 (2025-09-04) w funkcji doBefore w pliku src/main/java/com/rymcu/forest/core/service/security/AuthorshipAspect.java występuje problem pozwalający autoryzowanym atakującym usuwać dowolne posty użytkowników.

W systemie GuoMinJim PersonManage do commita 5a02b1ab208feacf3a34fc123c9381162afbaa95 (2020-11-23) występuje podatność umożliwiająca pobranie dowolnego pliku w funkcji zapytań o dokumenty w menu Download Center.

W aplikacji Download Station wykryto podatność typu cross-site scripting (XSS). Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać lukę do obejścia mechanizmów bezpieczeństwa lub odczytu danych aplikacji.

W Download Station występuje podatność path traversal. Zdalny atakujący z kontem administratora może odczytać zawartość nieoczekiwanych plików lub danych systemowych. Poprawka jest dostępna w wersjach 5.10.0.305 i 5.10.0.304.

W Qsync Central wykryto podatność typu path traversal. Zdalny atakujący posiadający konto użytkownika może wykorzystać tę lukę do odczytu nieoczekiwanych plików lub danych systemowych.

W aplikacji File Station 5 wykryto podatność typu cross-site scripting (XSS). Zdalny atakujący z kontem użytkownika może wykorzystać lukę do obejścia mechanizmów bezpieczeństwa lub odczytu danych aplikacji.

Zgłoszono podatność cross-site scripting (XSS) wpływającą na QuLog Center. Jeśli zdalny atakujący uzyska konto administratora, może wykorzystać podatność do obejścia mechanizmów bezpieczeństwa lub odczytu danych aplikacji. Podatność została naprawiona w wersji QuLog Center 1.8.2.923 (2025/08/27) i późniejszych.

W File Station 5 występuje podatność polegająca na przydzielaniu zasobów bez ograniczeń. Zdalny atakujący z kontem użytkownika może uniemożliwić innym systemom, aplikacjom lub procesom dostęp do tego samego zasobu. Poprawka jest w wersji 5.5.6.5018.

W File Station 5 występuje podatność dereferencji wskaźnika NULL. Zdalny atakujący z kontem użytkownika może wykorzystać ją do przeprowadzenia ataku typu denial-of-service (DoS). Poprawka jest w wersji 5.5.6.5018.

W File Station 5 zgłoszono podatność polegającą na przydzielaniu zasobów bez limitów lub ograniczeń. Zdalny atakujący z kontem administratora może wykorzystać tę podatność, aby uniemożliwić innym systemom, aplikacjom lub procesom dostęp do tego samego typu zasobu.

Podatność typu allocation of resources without limits or throttling w File Station 5 pozwala zdalnemu atakującemu posiadającemu konto użytkownika na wyczerpanie zasobów. Może to uniemożliwić innym systemom, aplikacjom lub procesom dostęp do tego samego typu zasobu.

Podatność typu allocation of resources without limits or throttling w File Station 5 pozwala zdalnemu atakującemu posiadającemu konto użytkownika na wyczerpanie zasobów. Może to uniemożliwić innym systemom, aplikacjom lub procesom dostęp do tego samego typu zasobu.