Katalog podatności CVE

Podatność w produkcie Oracle ZFS Storage Appliance Kit (komponent: Block Storage). Dotyczy wersji 8.8. Atakujący z wysokimi uprawnieniami i dostępem sieciowym przez HTTP może spowodować częściową odmowę usługi (partial DoS). CVSS 3.1 Base Score 2.7 (wpływ na dostępność).

Podatność w produkcie Oracle GraalVM for JDK firmy Oracle Java SE, w komponencie Compiler. Dotyczy wersji Oracle GraalVM for JDK 17.0.16 oraz 21.0.8. Trudna do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym uzyskać nieautoryzowany dostęp do odczytu części danych dostępnych w Oracle GraalVM for JDK (CVSS 3.1: 3.7).

Podatność w komponencie Unified Audit w Oracle Database Server (wersje 23.4-23.9). Atakujący z uprawnieniami DBA i dostępem sieciowym przez Oracle Net może skompromitować Unified Audit, co może prowadzić do nieautoryzowanej aktualizacji, wstawiania lub usuwania danych. CVSS 3.1 Base Score 2.7.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: Libraries). Dotyczy wersji Oracle Java SE: 21.0.8 i 25; Oracle GraalVM for JDK: 21.0.8; Oracle GraalVM Enterprise Edition: 21.3.15. Trudna do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym poprzez wiele protokołów na naruszenie tych produktów. Skuteczny atak może skutkować nieautoryzowaną aktualizacją, wstawieniem lub usunięciem dostępu do niektórych danych. CVSS 3.1 Base Score 3.7 (wpływ na integralność).

Podatność w komponencie RDBMS Functional Index bazy danych Oracle Database Server. Dotyczy wersji 23.4-23.9. Atakujący z uprawnieniami SYSDBA i dostępem sieciowym przez Oracle Net może wykorzystać podatność, co skutkuje nieautoryzowanym odczytem podzbioru danych dostępnych w RDBMS Functional Index. CVSS 3.1 Base Score 2.7 (wpływ na poufność).

Podatność na arbitralne usuwanie plików w komponencie agenta instalacyjnego w ZohoCorp ManageEngine Endpoint Central w wersjach wcześniejszych niż 11.4.2508.14, 11.4.2516.06 i 11.4.2518.01.

Moduł Tileservice jest dotknięty podatnością na wyciek informacji. Skuteczne wykorzystanie tej podatności może wpłynąć na poufność usługi.

W LogicalDOC Community Edition do wersji 9.2.1 wykryto lukę w pliku /frontend.jsp w komponencie Add Contact Page. Manipulacja argumentami First Name/Last Name/Company/Address/Phone/Mobile prowadzi do cross site scripting, a exploit został publicznie ujawniony.

W toeverything AFFiNE do wersji 0.24.1 zidentyfikowano lukę w komponencie Avatar Upload Image Endpoint. Manipulacja danymi prowadzi do cross site scripting, a exploit jest publicznie dostępny.

W rozszerzeniu Cargo dla MediaWiki (wersje 1.39, 1.43, 1.44) występuje podatność typu SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w zapytaniach SQL. Podatność może prowadzić do wykonania dowolnych zapytań SQL.

Rozszerzenie MediaWiki QuizGame jest podatne na przechowywany cross-site scripting (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji 1.39, 1.43 i 1.44.

Rozszerzenie MediaWiki PollNY jest podatne na przechowywany cross-site scripting (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji 1.39, 1.43 i 1.44.

Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 przesyła hasła kont użytkowników w postaci jawnej w wiadomościach e-mail.

W LobeChat w wersji 1.136.1 pakiet web-crawler pozwala na server-side request forgery (SSRF) w endpointcie tRPC tools.search.crawlPages. Klient może podać dowolną tablicę adresów URL z implementacją naive, co powoduje pobieranie zasobów wewnętrznych bez walidacji adresów sieci prywatnej.

W Xpdf 4.05 (i wcześniejszych) pętla obiektów PDF w CMap, poprzez wpis "UseCMap", prowadzi do nieskończonej rekurencji i przepełnienia stosu. Może to spowodować awarię aplikacji podczas przetwarzania złośliwego pliku PDF.

LibreNMS nie sanityzuje prawidłowo nazwy reguły alertu na stronie Alerts > Alert Rules, co pozwala na wstrzyknięcie kodu HTML. Podatność została naprawiona w wersji 25.10.0.

W module PrestaShop Checkout (wersje przed 4.4.1 i 5.0.5) występuje podatność umożliwiająca przejęcie docelowego konta handlowego PayPal z poziomu backoffice z powodu nieprawidłowego użycia funkcji PHP array_search(). Podatność została naprawiona w wersjach 4.4.1 i 5.0.5.

Podatność w Apeman ID71 EN75.8.53.20 dotyczy funkcji w pliku /set_alias.cgi. Manipulacja argumentem alias prowadzi do cross site scripting (XSS). Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

Podatność w GNU Binutils 2.45 dotyczy funkcji vfinfo w pliku ldmisc.c. Manipulacja prowadzi do odczytu poza zakresem (out-of-bounds read). Atak może być wykonany tylko lokalnie. Exploit jest publicznie dostępny. Zalecana jest poprawka o nazwie 16357.

Wykryto lukę bezpieczeństwa w GNU Binutils 2.45, dotyczącą funkcji tg_tag_type w pliku prdbg.c. Manipulacja tą funkcją prowadzi do braku kontroli wartości zwracanej, co może być wykorzystane w atakach lokalnych.