Katalog podatności CVE

W urządzeniu Click Plus C2-03CPU-2 z firmware 3.60 wykryto podatność nieprawidłowego zamykania lub zwalniania zasobów. Nieuwierzytelniony atakujący może wyczerpać wszystkie dostępne sesje Click Programming Software i przeprowadzić atak odmowy usługi.

W urządzeniu Click Plus C2-03CPU-2 z firmware 3.60 wykryto podatność związaną z nieprawidłowym zamykaniem lub zwalnianiem zasobów. Nieuwierzytelniony atakujący może wywołać atak typu denial-of-service, wyczerpując wszystkie dostępne sesje urządzenia w aplikacji Remote PLC.

W firmware urządzenia Click Plus C2-03CPU2 w wersji 3.60 wykryto podatność polegającą na obejściu autoryzacji. Poprzez protokół KOPR używany przez aplikację Remote PLC uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą odczytywać i modyfikować zmienne PLC wykraczając poza swoje uprawnienia.

W firmware w wersji 3.60 sterownika Click Plus PLC wykryto użycie zaszytego na stałe klucza kryptograficznego. Podatność polega na tym, że oprogramowanie zawiera zaszyty klucz AES używany do ochrony początkowych komunikatów nowej sesji KOPS.

W oprogramowaniu Click Programming Software w wersji v3.60 odkryto przechowywanie poufnych informacji w postaci jawnej. Podatność może być wykorzystana przez lokalnego użytkownika mającego dostęp do systemu plików, gdy aktywna jest sesja administratora, w celu kradzieży poświadczeń przechowywanych w postaci jawnej.

Kata Containers to projekt lekkich maszyn wirtualnych. W wersjach od 3.20.0 i wcześniejszych złośliwy host może obejść weryfikację initdata. W systemach TDX z poufnymi gośćmi złośliwy host może selektywnie powodować błędy operacji IO, aby pominąć weryfikację initdata. Pozwala to atakującemu na uruchomienie dowolnych obciążeń i pomyślne zaświadczenie w Trustee jako dowolne łagodne obciążenie. Problem naprawiono w wersji 3.21.0.

Biblioteka astral-tokio-tar do wersji 0.5.3 zawiera podatność, która pozwala na rozpakowanie archiwów tar poza docelowy katalog przy użyciu API Entry::unpack_in_raw. Ponadto kontrola Entry::allow_external_symlinks (domyślnie włączona) może zostać ominięta przez parę dowiązań symbolicznych, które indywidualnie wskazują w obrębie katalogu docelowego, ale łącznie wskazują poza niego. Te zachowania mogą być wykorzystane do zapisu dowolnego pliku i potencjalnie do wykonania kodu.

WordPress w wersjach od 4.7 do 6.8.2 jest podatny na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność wymaga uprawnień autora lub wyższych do wykorzystania.

Usługa Windows SunshineService jest instalowana z niecytowaną ścieżką do pliku wykonywalnego. Jeśli Sunshine jest zainstalowany w katalogu zawierającym spację w nazwie, Menedżer sterowania usługami (SCM) interpretuje ścieżkę stopniowo i może wykonać złośliwy plik umieszczony wcześniej w ciągu wyszukiwania. Problem został naprawiony w wersji 2025.923.33222.

Platforma CMS DNN (dawniej DotNetNuke) w wersjach przed 10.1.0 nieprawidłowo obsługuje adresy URL i ścieżki oraz renderowanie szablonów, co pozwala na odzwierciedlenie specjalnie spreparowanych danych wejściowych w profilu użytkownika zwracanym do przeglądarki. Aplikacja nie neutralizuje wystarczająco znaków istotnych w HTML, umożliwiając atakującemu wstrzyknięcie treści interpretowanej jako część HTML strony. Podatność została naprawiona w wersji 10.1.0.

DNN (dawniej DotNetNuke) to platforma CMS. Przed wersją 10.1.0 specjalnie spreparowane adresy URL do FileBrowser są podatne na wstrzyknięcie JavaScript, co może dotknąć nieświadomych użytkowników klikających w takie linki. Problem został naprawiony w wersji 10.1.0.

DNN (dawniej DotNetNuke) to platforma CMS. Przed wersją 10.1.0 punkt końcowy przesyłania plików CKEditor ma niewystarczającą sanitizację nazw plików, co umożliwia sondowanie punktów końcowych sieci. Specjalnie spreparowane żądanie może przesłać plik z znakami Unicode, które są tłumaczone na ścieżkę mogącą ujawnić zasoby w sieci wewnętrznej hostowanej witryny. Problem naprawiono w wersji 10.1.0.

DNN (dawniej DotNetNuke), otwartoźródłowa platforma CMS dla ekosystemu Microsoft, w wersjach przed 10.1.0 pozwalała użytkownikom na wstrzyknięcie kodu JavaScript w polu Biography, nawet jeśli nie było to pole rich-text. Wstrzyknięty kod wykonywał się w kontekście witryny u każdego użytkownika przeglądającego profil, w tym administratorów i superużytkowników. Problem został naprawiony w wersji 10.1.0.

W WordPress Core występuje podatność polegająca na wstawianiu poufnych informacji do wysyłanych danych, co może pozwolić na odzyskanie osadzonych poufnych danych. Podatność dotyczy wersji od 4.7 do 6.8.2 i wymaga uprawnień na poziomie współtwórcy (Contributor) do wykorzystania. Zespół bezpieczeństwa WordPress zna problem i pracuje nad poprawką; jest to podatność o niskiej wadze.

Podatność na odbity XSS w procesie rejestracji konta w WSO2 Identity Server z powodu nieprawidłowego kodowania wyjścia. Atakujący może wstrzyknąć spreparowany payload, który jest odbijany w odpowiedzi serwera, umożliwiając wykonanie dowolnego JavaScript w przeglądarce ofiary.

Podatność na atak typu Cross-site scripting (XSS) w systemie YzmCMS do wersji 7.3, występująca w nagłówku referer na stronie rejestracji. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do przeglądarki ofiary.

W wielu produktach WSO2 występuje podatność cross-tenant authentication wynikająca z niewłaściwego projektu kryptograficznego w Adaptive Authentication. Pojedynczy klucz kryptograficzny używany do podpisywania ciasteczek uwierzytelniających we wszystkich tenantach pozwala uprzywilejowanemu użytkownikowi jednego tenanta sfałszować ciasteczka dla użytkowników innych tenantów.

W wielu produktach WSO2 występuje uwierzytelniona podatność zdalnego wykonania kodu (RCE) wynikająca z niewłaściwej walidacji danych wejściowych w usłudze administracyjnej procesora zdarzeń. Użytkownik z uprawnieniami administracyjnymi do usług SOAP może wdrożyć plan wykonania Siddhi zawierający złośliwy kod Java, co prowadzi do wykonania dowolnego kodu na serwerze.

Uwierzytelniona podatność przechowywanego cross-site scripting (XSS) występuje w wielu produktach WSO2 z powodu niewłaściwej walidacji danych wejściowych podczas przesyłania dokumentów API w portalu Publisher. Użytkownik z uprawnieniami wydawcy może przesłać spreparowany dokument API zawierający złośliwy JavaScript, który jest później renderowany w przeglądarce podczas dostępu innych użytkowników. Udany atak może skutkować przekierowaniem na złośliwe strony, nieautoryzowanymi modyfikacjami interfejsu lub eksfiltracją danych dostępnych w przeglądarce. Jednak wrażliwe pliki cookie związane z sesją są chronione flagą httpOnly, co zapobiega przejęciu sesji.

W podatności CVE-2025-9342 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w aplikacji AHE Mobile firmy Anadolu Hayat Emeklilik Inc., co umożliwia nadużycie uprawnień. Problem dotyczy wersji AHE Mobile od 1.9.7 do przed 1.9.9.