Katalog podatności CVE

Podatność CVE-2025-8884 dotyczy oprogramowania ACE Center firmy VHS Electronic Software Ltd. Co. i pozwala na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika, co może prowadzić do nadużycia uprawnień oraz wykorzystania zaufanych identyfikatorów.

W bibliotece warmcat libwebsockets istnieje podatność polegająca na zapisie poza zakresem w funkcji unfilter_scanline, gdy flaga LWS_WITH_UPNG jest włączona podczas kompilacji i używany jest stos wyświetlania HTML. Może to prowadzić do zapisu poza przydzielony bufor na stercie, co może spowodować awarię, gdy użytkownik odwiedzi złośliwą stronę z odpowiednio spreparowanym plikiem PNG.

Odczyt poza zakresem w funkcji lws_upng_emit_next_line w warmcat libwebsockets, gdy flaga LWS_WITH_UPNG jest włączona podczas kompilacji i używany jest stos wyświetlania HTML, może pozwolić na odczyt poza przydzielonym buforem sterty, co może spowodować awarię, gdy użytkownik odwiedzi kontrolowaną przez atakującego stronę zawierającą spreparowany plik PNG o dużym wymiarze wysokości.

Podatność Use After Free w implementacji serwera WebSocket w funkcji lws_handshake_server w bibliotece warmcat libwebsockets może pozwolić atakującemu, w określonych konfiguracjach, gdzie użytkownik dostarcza funkcję zwrotną obsługującą LWS_CALLBACK_HTTP_CONFIRM_UPGRADE, na osiągnięcie odmowy usługi.

W Tawk Live Chat występuje podatność Cross-site Scripting (XSS) typu stored. Atakujący może wykonać kod JavaScript w przeglądarce ofiary, przesyłając złośliwy plik PDF z ładunkiem JavaScript poprzez chatbot. Plik PDF jest przechowywany przez aplikację, a następnie wyświetlany bez odpowiedniej sanityzacji, gdy inni użytkownicy uzyskują do niego dostęp.

Moduł Photo jest podatny na podatność polegającą na wycieku informacji. Skuteczne wykorzystanie tej podatności może wpłynąć na poufność usługi.

Niektóre produkty Honor są podatne na podatność polegającą na wycieku informacji. Skuteczne wykorzystanie tej podatności może wpłynąć na poufność usługi.

W bftpd do wersji 6.2 zidentyfikowano słabość w funkcji expand_groups w pliku options.c (obsługa pliku konfiguracyjnego). Manipulacja danymi może prowadzić do przepełnienia bufora na stercie; atak wymaga dostępu lokalnego i jest bardzo złożony, a exploit jest publicznie dostępny.

W givanz Vvveb do wersji 1.0.7.3 występuje podatność w funkcji Import w pliku admin/controller/tools/import.php komponentu Raw SQL Handler. Manipulacja prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W e107 CMS w wersjach do 2.3.3 wykryto lukę w nieznanej funkcji pliku /e107_admin/image.php?mode=main&action=avatar w komponencie Avatar Handler. Manipulacja argumentem multiaction[] prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

ChurchCRM w wersjach do 5.18.0 zawiera podatność path traversal w pliku src/ChurchCRM/Backup/RestoreJob.php w komponencie Backup Restore Handler. Manipulacja argumentem restoreFile może prowadzić do path traversal. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.

W ChurchCRM do wersji 5.18.0 w pliku setup/routes/setup.php manipulacja argumentami DB_PASSWORD/ROOT_PATH/URL prowadzi do deserializacji. Atak można zainicjować zdalnie, a złożoność ataku oceniono jako wysoką. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

rplay do wersji 3.3.2 pozwala atakującym na spowodowanie odmowy usługi (SIGSEGV i awaria demona) lub potencjalnie innych skutków. Występuje w memcpy w przypadku RPLAY_DATA w rplay_unpack w librplay/rplay.c, potencjalnie osiągalne przez dane pakietu bez uwierzytelniania.

Wtyczka Related Posts Lite dla WordPressa do wersji 1.12 włącznie jest podatna na przechowywany atak XSS przez ustawienia administratora. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych pozwala uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi na wstrzyknięcie dowolnych skryptów na strony. Podatność dotyczy tylko instalacji wielostanowiskowych oraz instalacji, gdzie wyłączono unfiltered_html.

Wtyczka Kognetiks Chatbot dla WordPressa do wersji 2.3.5 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w kilku funkcjach. Umożliwia to nieuwierzytelnionym atakującym przesyłanie ograniczonych bezpiecznych plików i usuwanie rozmów.

Wtyczka PowerBI Embed Reports dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.2.0 włącznie. Wynika to z braku kontroli uprawnień i weryfikacji uwierzytelnienia w punkcie końcowym 'testUser' dostępnym przez funkcję mo_epbr_admin_observer() podpiętą do 'init'. Umożliwia to nieuwierzytelnionym atakującym dostęp do poufnych informacji o użytkownikach Azure AD, w tym danych osobowych (PII) oraz szczegółowych danych błędów OAuth.

Wtyczka Redirection for Contact Form 7 dla WordPressa do wersji 3.2.6 włącznie jest podatna na przechowywany atak XSS poprzez shortcode qs_date. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym na wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy ich odwiedzeniu.

Wtyczka WPC Smart Quick View for WooCommerce do WordPressa, w wersjach do 4.2.5 włącznie, jest podatna na ujawnienie informacji przez punkt końcowy AJAX 'woosq_quickview'. Brak wystarczających ograniczeń pozwala nieuwierzytelnionym atakującym na dostęp do danych z produktów chronionych hasłem, prywatnych lub w wersji roboczej.

Wtyczka WP Go Maps (dawniej WP Google Maps) dla WordPressa jest podatna na zatruwanie pamięci podręcznej we wszystkich wersjach do 9.0.48 włącznie. Podatność wynika z tego, że wtyczka nie korzysta z danych z odpowiedzi serwera, lecz opiera się na danych wprowadzanych przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym zatrucie pamięci podręcznej wyników wyszukiwania lokalizacji.

Wtyczka Optimole dla WordPressa do wersji 4.1.0 włącznie jest podatna na Insecure Direct Object Reference (IDOR) w punkcie końcowym REST API /wp-json/optml/v1/move_image z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym przenoszenie multimediów, które nie należą do nich.