Katalog podatności CVE

Podatność w produkcie Oracle Financial Services Revenue Management and Billing (komponent: Security Management System) w wersjach 2.9.0.0.0–7.2.0.0.0. Atakujący z niskimi uprawnieniami i dostępem sieciowym przez HTTP może uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych w aplikacji.

Podatność w Oracle Financial Services Revenue Management and Billing (komponent: Security Management System) w wersjach 2.9.0.0.0–7.2.0.0.0. Umożliwia atakującemu z wysokimi uprawnieniami i dostępem sieciowym przez HTTP nieautoryzowany dostęp do krytycznych danych. CVSS 3.1 Base Score 4.9.

Liferay Portal (wersje 7.4.0 do 7.4.3.132) oraz Liferay DXP (określone wersje) są podatne na odbity XSS w parametrze google_gadget. Zdalny, nieuwierzytelniony atakujący może wstrzyknąć JavaScript.

code16 Sharp w wersji 9.6.6 jest podatny na Cross Site Scripting (XSS) w pliku src/Form/Fields/SharpFormUploadField.php.

W produkcie OpenText Flipper w wersji 3.1.2 występuje luka typu path traversal wynikająca z zewnętrznej kontroli nazwy pliku lub ścieżki. Może ona pozwolić użytkownikowi na dostęp do plików hostowanych na serwerze.

ProcessWire CMS 3.0.246 pozwala użytkownikowi o niskich uprawnieniach z możliwością lang-edit na przesłanie spreparowanego pliku ZIP do Language Support, który jest automatycznie rozpakowywany bez ograniczeń przed walidacją, co umożliwia atak wyczerpania zasobów (Denial of Service).

Podatność wynika z błędnej konfiguracji bezpieczeństwa HTTP — ciasteczka nie mają ustawionych atrybutów Secure i HTTPOnly. Umożliwia to odczyt wrażliwych ciasteczek z kontekstu JavaScript, np. w wyniku ataku XSS. Problem dotyczy urządzeń BLU-IC2 i BLU-IC4 w wersjach do 1.19.5.

Zimbra Collaboration (ZCS) przed wersją 10.1.12 jest podatna na atak SSRF z powodu konfiguracji proxy czatu.

Mastodon w wersji 4.4 dodał obsługę weryfikowalnych cytatów z kontrolami cytowania, ale w wersjach przed 4.4.8 i 4.5.0-beta.2 atakujący może obejść te kontrole. Ponieważ reblogi są wewnętrznie traktowane jako statusy, atakujący może reblogować dowolny post, a następnie zacytować swój reblog, technicznie cytując siebie, ale uzyskując podgląd posta, do którego nie miał autoryzacji. Problem naprawiono w wersjach 4.4.8 i 4.5.0-beta.2.

WeGIA, otwartoźródłowy menedżer internetowy dla instytucji, zawiera podatność odbitego XSS w punkcie końcowym editar_info_pessoal.php przed wersją 3.5.1. Atakujący może wstrzyknąć złośliwe skrypty w parametr action.

WeGIA, otwartoźródłowy menedżer internetowy dla instytucji, przed wersją 3.5.1 zawiera podatność na odbity XSS w punkcie końcowym editar_info_pessoal.php. Luka umożliwia atakującym wstrzyknięcie złośliwych skryptów w parametr sql. Podatny punkt końcowy to GET /WeGIA/html/pessoa/editar_info_pessoal.php?sql=1. Problem został naprawiony w wersji 3.5.1.

Koa, framework dla Node.js, w wersjach 2.16.2 do przed 2.16.3 oraz 3.0.1 do przed 3.0.3, ma obejście poprawki CVE-2025-8129 dotyczącej funkcji przekierowania zwrotnego. Atakujący może manipulować nagłówkiem Referer, aby wymusić nawigację przeglądarki użytkownika do zewnętrznej, potencjalnie złośliwej strony.

Wtyczka Moodle OpenAI Chat Block w wersji 3.0.1 (2025021700) zawiera podatność IDOR z powodu niewystarczającej walidacji parametru blockId w /blocks/openai_chat/api/completion.php. Uwierzytelniony student może podszyć się pod blok innego użytkownika (np. administratora) i wysyłać zapytania wykonywane z konfiguracją tego bloku.

Nieprawidłowa autoryzacja w Liferay Portal i Liferay DXP pozwala zdalnym atakującym na wysyłanie złośliwych danych, które są traktowane jako zaufane poprzez nieuwierzytelnione komunikaty klastra.

Wiele podatności stored cross-site scripting (XSS) w komponencie index.php produktu HR Performance Solutions Performance Pro v3.19.17 pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez spreparowany payload wstrzyknięty do parametrów Employee Notes, title lub description. Wersja z poprawką to PP-Release-6.3.2.0.

Zohocorp ManageEngine Applications Manager w wersjach 176800 i niższych jest podatny na ujawnienie informacji w monitorze plików/katalogów.

Zohocorp ManageEngine EndPoint Central w wersjach 11.4.2516.1 i wcześniejszych jest podatny na wstrzykiwanie XML (XML Injection).

Podatność CVE-2025-10612 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w City Guide od giSoft Information Technologies, co pozwala na ataki typu Reflected XSS. Problem ten występuje w wersjach przed 1.4.45.

SolarWinds Observability Self-Hosted jest podatny na iniekcję SQL, która może ujawnić wrażliwe dane przy użyciu konta o niskich uprawnieniach. Wymaga uwierzytelnienia z konta o niskich uprawnieniach.

Rozszerzenie PageTriage w MediaWiki zawiera podatność na Stored XSS, wynikającą z niewłaściwego neutralizowania danych wejściowych podczas generowania stron. Podatność dotyczy wersji od master przed 1.44.