Katalog podatności CVE

Podatność Cross-Site Request Forgery (CSRF) w Liferay Portal 7.4.1 do 7.4.3.112 oraz Liferay DXP 2023.Q4.0 do 2023.Q4.5, 2023.Q3.1 do 2023.Q3.10 i 7.4 GA do update 92 pozwala zdalnym atakującym dodawać i edytować komentarze do publikacji.

Frappe Learning to system edukacyjny. W wersjach przed 2.38.0 system przechowywał załączniki przesłane przez uczniów w zadaniach jako pliki publiczne, co potencjalnie narażało te pliki na publiczny dostęp. Każdy znający URL pliku mógł uzyskać do niego dostęp bez uwierzytelnienia.

Astro to framework webowy. W wersjach przed 5.14.2 Astro odzwierciedla wartość nagłówka X-Forwarded-Host w wynikach przy użyciu Astro.url bez walidacji, co pozwala na manipulację tą wartością przez złośliwe żądanie. Może to prowadzić do przekierowania na złośliwą stronę lub przechwycenia danych logowania, zwłaszcza w konfiguracjach z proxy buforującym. Wersja 5.14.2 zawiera poprawkę.

W PowerJob do wersji 5.1.2 wykryto podatność w pliku /openApi/runJob komponentu OpenAPIController, polegającą na braku autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W MCMS v6.0.1 wykryto podatność umożliwiającą dowolne przesyłanie plików. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu poprzez przesłanie spreparowanego pliku.

W FreeRTOS-Plus-TCP brak walidacji w kodzie przetwarzania pakietów UDP/IPv6 może prowadzić do nieprawidłowego wyłuskania wskaźnika przy odbiorze pakietu UDP/IPv6 z nieprawidłowym polem wersji IP w nagłówku. Problem dotyczy tylko aplikacji korzystających z IPv6.

Brak sprawdzenia walidacji w kodzie przetwarzania pakietów IPv6 w FreeRTOS-Plus-TCP może prowadzić do odczytu poza zakresem przy odbieraniu pakietu IPv6 z nieprawidłową długością ładunku w nagłówku. Problem dotyczy tylko aplikacji korzystających z IPv6.

Brak sprawdzenia walidacji w kodzie przetwarzania pakietów ICMPv6 w FreeRTOS-Plus-TCP może prowadzić do odczytu poza zakresem przy odbieraniu pakietów ICMPv6 niektórych typów wiadomości mniejszych niż oczekiwany rozmiar. Problemy dotyczą tylko aplikacji korzystających z IPv6.

PowerJob w wersjach do 5.1.2 zawiera podatność braku autoryzacji w funkcji list pliku /user/list. Manipulacja tą funkcją pozwala na nieautoryzowany dostęp do listy użytkowników. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

Podatność ujawnienia informacji w Rack::Sendfile działającym za proxy obsługującym nagłówki x-sendfile (np. Nginx). Złośliwie spreparowane nagłówki x-sendfile-type i x-accel-mapping są interpretowane jako dyrektywy konfiguracji proxy, co może wywołać nieoczekiwane wewnętrzne żądania z pominięciem ograniczeń dostępu proxy.

W systemie Simple Online Hotel Reservation System 1.0 wykryto podatność na atak XSS w funkcji dodawania pokoju. Złośliwy kod JavaScript wprowadzony w polu Description może wykraść ciasteczka administratora podczas przeglądania informacji o pokoju.

Podatność CVE-2025-8887 w systemie Aybs Interaktif firmy Usta Information Systems Inc. umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, co prowadzi do wymuszonego przeglądania, wstrzykiwania parametrów oraz manipulacji danymi wejściowymi. Problem ten występuje od 2024 roku do 28 sierpnia 2025 roku.

Podatność CVE-2025-8886 dotyczy niewłaściwego przypisania uprawnień do krytycznych zasobów w systemie Aybs Interaktif, co prowadzi do możliwości nadużycia uprawnień oraz ominięcia autoryzacji. Problem ten może skutkować ujawnieniem wrażliwych informacji osobom nieuprawnionym.

Luka typu cross-site scripting (XSS) w kreatorze procesów workflow w Liferay Portal i Liferay DXP pozwala zdalnym uwierzytelnionym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowane dane wejściowe w definicji workflow.

Podatność typu stored cross-site scripting (XSS) na stronie Membership w Account Settings w Liferay Portal i Liferay DXP pozwala zdalnym uwierzytelnionym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym „Name” konta. Podatność dotyczy Portal 7.4.3.21–7.4.3.111 i DXP 2023.Q4.0–2023.Q4.5, 2023.Q3.1–2023.Q3.8, 7.4 update 21–update 92.

Podatność typu stored cross-site scripting (XSS) na stronie widoku zamówienia w Commerce w Liferay Portal i Liferay DXP pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym „Name” konta. Podatność dotyczy Portal 7.4.3.8–7.4.3.111 i DXP 2023.Q4.0–2023.Q4.5, 2023.Q3.1–2023.Q3.8, 7.4 update 8–update 92.

Wtyczka WP JobHunt dla WordPressa, używana przez motyw JobCareer, jest podatna na przechowywane wstrzyknięcie skryptów (Stored XSS) poprzez parametr 'cs_job_title' we wszystkich wersjach do 7.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Candidate lub wyższym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka WP JobHunt dla WordPressa, używana przez motyw JobCareer, jest podatna na obejście autoryzacji we wszystkich wersjach do 7.6 włącznie. Wynika to z niewystarczających ograniczeń logowania dla nieaktywnych i oczekujących kont, co umożliwia uwierzytelnionym atakującym z poziomem dostępu Candidate i Employer lub wyższym zalogowanie się do witryny nawet jeśli ich konto jest nieaktywne lub oczekujące.

Biblioteka rardecode (github.com/nwaples/rardecode) w wersjach do 2.1.1 nie ogranicza rozmiaru słownika podczas odczytu dużych rozmiarów słownika RAR, co pozwala atakującemu na dostarczenie specjalnie spreparowanego pliku RAR i spowodowanie odmowy usługi przez awarię z powodu braku pamięci.

W HCL AION występuje podatność polegająca na obejściu konfiguracji listy dozwolonych skryptów. Niepoprawnie skonfigurowany nagłówek Content-Security-Policy może pozwolić na wykonanie nieautoryzowanych skryptów, zwiększając ryzyko ataków typu cross-site scripting i innych ataków opartych na wstrzyknięciach. Problem dotyczy AION w wersji 2.0.