Katalog podatności CVE

HCL Traveler dla Microsoft Outlook (HTMO) jest podatny na wyciek poświadczeń, co może pozwolić atakującemu na dostęp do innych komputerów lub aplikacji.

W ClipBucket V5 w wersji 5.5.2 - #140 i wcześniejszych występuje podatność na ślepe wstrzyknięcie SQL w pliku /admin_area/login_as_user.php w obszarze administracyjnym. Wykorzystanie tej podatności wymaga uprawnień dostępu do obszaru administracyjnego.

W Bagisto v2.3.7 funkcja przesyłania obrazów TinyMCE pozwala atakującemu z odpowiednimi uprawnieniami (np. administratorowi) na przesłanie spreparowanego pliku SVG zawierającego osadzony JavaScript. Po wyświetleniu złośliwy kod wykonuje się w kontekście przeglądarki administratora/użytkownika. Podatność naprawiono w wersji 2.3.8.

Bagisto w wersji 2.3.7 jest podatny na Server-Side Template Injection (SSTI), ponieważ niesanityzowane dane wejściowe użytkownika są przetwarzane przez silnik szablonów po stronie serwera podczas renderowania opisów produktów. Umożliwia to atakującemu z uprawnieniami do tworzenia produktów wstrzyknięcie dowolnych wyrażeń szablonowych, co może prowadzić do zdalnego wykonania kodu (RCE). Podatność została naprawiona w wersji 2.3.8.

W Bagisto v2.3.7 funkcja przesyłania obrazów TinyMCE pozwala atakującemu z odpowiednimi uprawnieniami (np. administratorowi) na przesłanie spreparowanego pliku HTML zawierającego osadzony JavaScript. Po wyświetleniu złośliwy kod wykonuje się w kontekście przeglądarki administratora/użytkownika. Podatność naprawiono w wersji 2.3.8.

W Bagisto v2.3.7 funkcja „Create New Customer” w panelu administracyjnym jest podatna na Cross-Site Scripting (XSS). Atakujący z dostępem do formularza tworzenia klienta może wstrzyknąć złośliwe payloady JavaScript do niektórych pól. Mogą one później wykonać się w przeglądarce administratora lub innego użytkownika przeglądającego dane klienta, umożliwiając kradzież sesji lub działania na poziomie administratora. Podatność naprawiono w wersji 2.3.8.

D-Link Nuclias Connect w wersjach firmware'u <= 1.3.1.4 zawiera podatność polegającą na rozbieżności odpowiedzi. Punkt końcowy 'Forgot Password' zwraca różne odpowiedzi JSON w zależności od tego, czy podany adres e-mail jest powiązany z istniejącym kontem. Ponieważ odpowiedzi różnią się wartością logiczną `data.exist`, nieuwierzytelniony zdalny atakujący może wyliczyć prawidłowe adresy e-mail/konta na serwerze. UWAGA: D-Link podaje, że poprawka jest w opracowaniu.

W oprogramowaniu D-Link Nuclias Connect w wersjach do 1.3.1.4 wykryto podatność polegającą na obserwowalnej różnicy w odpowiedziach. Endpoint 'Login' zwraca różne odpowiedzi JSON w zależności od tego, czy podana nazwa użytkownika istnieje. Nieuwierzytelniony atakujący może zdalnie enumerować prawidłowe nazwy użytkowników.

Firmware D-Link Nuclias Connect w wersjach <= 1.3.1.4 zawiera podatność przechowywanego XSS wynikającą z nieprawidłowej sanityzacji pola 'Network' podczas edycji konfiguracji, tworzenia profilu i dodawania sieci. Uwierzytelniony atakujący może wstrzyknąć dowolny JavaScript wykonywany w kontekście innych użytkowników przeglądających wpis profilu.

W Apeman ID71 218.53.203.117 znaleziono podatność. Nieznana funkcja w pliku /onvif/device_service komponentu ONVIF Service pozwala na manipulację prowadzącą do braku uwierzytelnienia. Atak można przeprowadzić zdalnie, a exploit został upubliczniony.

MQTTX to desktopowy klient MQTT 5.0 i narzędzie do testowania MQTT. Podatność na Cross-Site Scripting (XSS) została wprowadzona w MQTTX v1.12.0 z powodu nieprawidłowego przetwarzania renderowania ładunku wiadomości MQTT. Złośliwe ładunki zawierające HTML lub JavaScript mogły być renderowane bezpośrednio w przeglądarce wiadomości MQTTX. Jeśli wykorzystane, mogło to pozwolić atakującym na wykonanie dowolnych skryptów w kontekście interfejsu aplikacji — na przykład próbę uzyskania dostępu do poświadczeń połączenia MQTT lub wywołanie niezamierzonych działań przez wstrzyknięcie skryptu. Podatność jest szczególnie istotna, gdy MQTTX jest używany z brokerami w niezaufanych lub wielodostępnych środowiskach, gdzie treść wiadomości nie może być w pełni kontrolowana. Podatność została naprawiona w wersji 1.12.1.

LibreNMS w wersjach do 25.8.0 zawiera podatność Stored XSS w funkcjonalności zarządzania Alert Transports. Wartość pola nazwy Transportu jest zapisywana i później wyświetlana w kolumnie Transports na stronie Alert Rules bez walidacji i kodowania wyjścia, co prowadzi do wykonania dowolnego JavaScriptu w przeglądarce administratora. Podatność naprawiono w wersji 25.10.0.

Frappe (wersje przed 14.98.0 i 15.83.0) umożliwia otwarte przekierowanie poprzez argument redirect na stronie logowania, jeśli przekazano określony typ URL. Podatność naprawiono w wersjach 14.98.0 i 15.83.0.

W PrestaShop Checkout w wersjach przed 4.4.1 i 5.0.5 brakuje walidacji wejścia w backoffice, co prowadzi do path traversal i ujawnienia dowolnych plików. Podatność została naprawiona w wersjach 4.4.1 i 5.0.5.

Icinga 2 to system monitorowania open source. W wersjach od 2.10.0 do przed 2.15.1, 2.14.7 i 2.13.13, skrypt safe-reload (używany również podczas systemctl reload icinga2) oraz konfiguracja logrotate odczytują PID głównego procesu Icinga 2 z pliku PID zapisywalnego przez użytkownika demona, ale wysyłają sygnał jako użytkownik root. Może to pozwolić użytkownikowi Icinga na wysyłanie sygnałów do procesów, do których normalnie nie ma uprawnień. Poprawki zawierają wersje 2.15.1, 2.14.7 i 2.13.13.

Icinga 2 to otwarty system monitoringu. Od wersji 2.10.0 do przed 2.15.1, 2.14.7 i 2.13.13, podczas tworzenia nieprawidłowego odwołania (np. do null) dereferencja powoduje błąd segmentacji. Każdy użytkownik API z dostępem do punktu końcowego umożliwiającego określenie wyrażenia filtrującego może spowodować awarię demona Icinga 2.

Icinga 2 w wersjach od 2.4 do 2.15.0 ma podatność, która pozwala uwierzytelnionym użytkownikom API na dostęp do zmiennych i obiektów, które powinny być ukryte, w tym zmiennych globalnych i obiektów nieobjętych uprawnieniami. Poprawki dostępne w wersjach 2.15.1, 2.14.7 i 2.13.13.

W pliku mexcel.php w Vfront 0.99.52 występuje podatność na deserializację niesprawdzonego wejścia użytkownika. Funkcja unserialize jest wywoływana na danych z $_POST['mexcel'] po dekodowaniu base64, bez walidacji i bez ograniczenia dozwolonych klas. Umożliwia to atakującemu wstrzyknięcie dowolnych obiektów PHP, co może prowadzić do zdalnego wykonania kodu, wstrzyknięcia SQL, przejścia ścieżek lub odmowy usługi.

W kodzie źródłowym ATLAS-EPIC w commit f29312c (z 2025-05-26) znaleziono zakodowane na stałe poświadczenia (hardcoded credentials). Oznacza to, że dane uwierzytelniające są bezpośrednio osadzone w repozytorium, co umożliwia ich odczytanie każdemu, kto ma dostęp do kodu.

Oprogramowanie sprzętowe serwera Ilevia EVE X1 w wersjach do 4.7.18.0.eden zawiera odzwierciedloną podatność XSS w pliku index.php, umożliwiającą nieuwierzytelnionemu atakującemu wykonanie dowolnego skryptu w przeglądarce ofiary. Producent odmówił naprawy i zaleca nie wystawiać portu 8080 do internetu.