Katalog podatności CVE

W JeecgBoot do wersji 3.8.2 wykryto podatność w nieznanej funkcji pliku /api/system/sendWebSocketMsg obsługującego wiadomości WebSocket. Manipulacja argumentem userIds prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

Wtyczka smartctl w Zabbix Agent 2 nie sanitizuje poprawnie parametrów smart.disk.get, co pozwala atakującemu wstrzyknąć nieoczekiwane argumenty do polecenia smartctl. Może to zostać wykorzystane do wycieku hasha NTLMv2 z systemu Windows.

Wtyczka Contact Form 7 reCAPTCHA dla WordPressa do wersji 1.2.0 nie escapuje parametru $_SERVER['REQUEST_URI'] przed wyświetleniem go w atrybucie, co może prowadzić do Reflected Cross-Site Scripting w starszych przeglądarkach internetowych.

GitLab CE/EE w wersjach od 7.8 przed 18.1.6, 18.2 przed 18.2.6 oraz 18.3 przed 18.3.2 zawiera podatność, która mogła pozwolić uwierzytelnionemu użytkownikowi z poziomem dostępu Developer na wywołanie trwałej odmowy usługi (DoS) wpływającej na wszystkich użytkowników instancji GitLab poprzez przesyłanie dużych plików.

W GitLab CE/EE odkryto problem we wszystkich wersjach od 15.1 przed 18.1.6, 18.2 przed 18.2.6 oraz 18.3 przed 18.3.2. Uwierzytelnieni użytkownicy mogli przeglądać notatki konserwacyjne przeznaczone tylko dla administratorów, uzyskując dostęp do szczegółów runnera przez określone interfejsy.

Aplikacja WTW-EAGLE nieprawidłowo weryfikuje certyfikaty serwera, co może umożliwić atakującemu przeprowadzenie ataku man-in-the-middle i monitorowanie zaszyfrowanego ruchu.

W GitLab CE/EE odkryto podatność, która mogła pozwolić uwierzytelnionemu użytkownikowi na zablokowanie przetwarzania zadań w tle poprzez wysyłanie specjalnie spreparowanych wiadomości commitów, opisów merge requestów lub notatek.

Kod WebSocket w curl nie aktualizował 32-bitowego wzorca maski dla każdej nowej wychodzącej ramki, zgodnie ze specyfikacją. Zamiast tego używał stałej maski przez cały czas trwania połączenia. Przewidywalny wzorzec maski umożliwia złośliwemu serwerowi wywołanie ruchu, który pośredniczące proxy może zinterpretować jako prawdziwy ruch HTTP i zatruć swój cache.

W GitLab CE/EE odkryto podatność, która mogła pozwolić uwierzytelnionym użytkownikom na zakłócenie dostępu do list tokenów i powiązanych operacji administracyjnych poprzez tworzenie tokenów o nadmiernie długich nazwach.

Wtyczka Spotify Embed Creator dla WordPressa jest podatna na trwały atak XSS przez shortcode 'spotify' we wszystkich wersjach do 1.0.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i braku escape'owania atrybutów dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyżej wstrzyknięcie dowolnych skryptów na strony, które będą wykonywane przy każdym odwiedzeniu zainfekowanej strony.

W YunaiV ruoyi-vue-pro do wersji 2025.09 znaleziono lukę w pliku /crm/contact/transfer polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentami ids/newOwnerUserId. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Liferay Portal i Liferay DXP usługi JSON Web Services publikowane w OSGi są rejestrowane i wywoływane bezpośrednio jako klasy, co pozwala na wykonanie polityk dostępu do usług (Service Access Policies).

Selektor organizacji w Liferay Portal i Liferay DXP nie sprawdza uprawnień użytkownika. Zdalni uwierzytelnieni użytkownicy mogą uzyskać listę wszystkich organizacji.

W YunaiV yudao-cloud do wersji 2025.09 wykryto lukę w pliku /crm/receivable/submit polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem ID. Atak można wykonać zdalnie, a exploit jest publiczny. Poprawka została zidentyfikowana jako 0f573e1d8e1a895e1bcbb7740ef75306412c3f9d.

W YunaiV ruoyi-vue-pro do wersji 2025.09 wykryto lukę w pliku /crm/contract/transfer polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentami id/newOwnerUserId. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.

W YunaiV yudao-cloud do wersji 2025.09 zidentyfikowano słabość w pliku /crm/business/transfer polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentami ids/newOwnerUserId. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W niektórych drukarkach Lenovo zgłoszono brak uwierzytelniania, który może umożliwić użytkownikowi przeglądanie ograniczonych informacji o urządzeniu lub modyfikację ustawień sieciowych za pośrednictwem usługi CUPS.

W Liferay Portal 7.4.0–7.4.3.124 oraz Liferay DXP (2024.Q2.0–2024.Q2.7, 2024.Q1.1–2024.Q1.12, 7.4 GA–update 92) występuje podatność IDOR. Zdalny uwierzytelniony użytkownik może uzyskać dostęp do definicji workflow po nazwie poprzez API.

W jądrze Linux dodano warunkową ochronę IBPB dla podatności VMSCAPE, która wykorzystuje słabą izolację predyktorów gałęzi między gościem a przestrzenią użytkownika (np. QEMU). Nowa łatka emituje IBPB po wyjściu z maszyny wirtualnej (VMexit) przed powrotem do przestrzeni użytkownika, co zwiększa bezpieczeństwo, ale może powodować spadek wydajności przy częstych przełączaniach.

W jądrze Linux w funkcji pcie_failed_link_retrain() przy nieudanym retreningu łącza prędkość jest obliczana z rejestru Link Control 2 bez zamaskowania bitów innych niż prędkość. Powoduje to zwrócenie PCI_SPEED_UNKNOWN i wywołanie ostrzeżenia WARN w pcie_set_target_speed(). Poprawka maskuje nieistotne bity w PCIE_LNKCTL2_TLS2SPEED() i PCIE_LNKCAP_SLS2SPEED().