Katalog podatności CVE

W usłudze office występuje podatność typu denial of service (DoS). Skuteczne wykorzystanie może wpłynąć na dostępność usługi.

W module aparatu występuje podatność związana z kontrolą uprawnień. Skuteczne wykorzystanie może wpłynąć na poufność usługi.

W produkcie HCL AION w wersji 2.0 zidentyfikowano podatność związaną z brakiem egzekwowania typów zaufanych w skryptach w polityce CSP (Content Security Policy).

W produkcie HCL AION w wersji 2.0 zidentyfikowano podatność polegającą na buforowaniu stron SSL. Zbuforowane dane mogą ujawnić poświadczenia, identyfikatory systemowe lub wewnętrzne ścieżki plików atakującym mającym dostęp do urządzenia lub przeglądarki.

W produkcie HCL AION w wersji 2.0 zidentyfikowano podatność polegającą na ujawnieniu wrażliwych informacji nieautoryzowanemu aktorowi.

W produkcie HCL AION w wersji 2.0 zidentyfikowano podatność polegającą na ujawnieniu wrażliwych informacji nieautoryzowanemu aktorowi.

Podatność w HCL MyXalytics v6.6 polega na włączaniu funkcjonalności z niezaufanej sfery kontroli. Ładowanie skryptów stron trzecich bez kontroli integralności lub walidacji może pozwolić na uruchomienie zewnętrznego kodu w kontekście aplikacji, co grozi narażeniem danych.

Niewłaściwa kontrola dostępu w WindowManager w Samsung DeX przed SMR Oct-2025 Release 1 pozwala fizycznym atakującym na tymczasowy dostęp do listy ostatnich aplikacji.

Podatność ujawnienia informacji w oprogramowaniu Palo Alto Networks PAN-OS pozwala uwierzytelnionemu administratorowi na przeglądanie tokenów sesji użytkowników zalogowanych do interfejsu webowego firewalla. Może to umożliwić podszycie się pod użytkowników, których tokeny sesji wyciekły. Ryzyko jest znacznie ograniczone, gdy dostęp CLI jest ograniczony do wąskiej grupy administratorów; Cloud NGFW i Prisma Access nie są podatne.

W GNU Binutils 2.45 w funkcji elf_x86_64_relocate_section w pliku elf64-x86-64.c komponentu Linker występuje przepełnienie bufora na stercie (heap-based buffer overflow). Atak może być wykonany tylko lokalnie, a exploit został publicznie ujawniony. Zalecane jest zastosowanie poprawki o nazwie 6b21c8b2ecfef5c95142cbc2c32f185cb1c26ab0.

W GNU Binutils 2.45 w funkcji _bfd_x86_elf_late_size_sections w pliku bfd/elfxx-x86.c komponentu Linker występuje odczyt poza zakresem (out-of-bounds read). Atak musi być przeprowadzony lokalnie, a exploit został publicznie ujawniony. Zalecane jest zastosowanie poprawki o identyfikatorze b6ac5a8a5b82f0ae6a4642c8d7149b325f4cc60a.

Podatność w SourceCodester Student Grades Management System 1.0 dotyczy funkcji add_user w pliku /admin.php komponentu Manage Users Page. Manipulacja argumentami first_name/last_name powoduje cross site scripting. Atak może być inicjowany zdalnie. Exploit został publicznie ujawniony.

W Gemini iOS udostępnienie fragmentu rozmowy powodowało wygenerowanie publicznego linku zawierającego całą historię rozmowy, a nie tylko wybrany fragment. Link był publicznie dostępny.

Słabość w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej funkcji w pliku /api/password/email komponentu Forgotten Password Handler. Manipulacja powoduje ujawnienie informacji przez rozbieżność. Atak może być zainicjowany zdalnie, ale ma wysoką złożoność i jest trudny do wykorzystania. Exploit jest publiczny. Problem jest obecnie zgodny z Laravel issue #46465, dlatego nie podjęto działań łagodzących.

Podatność w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej funkcji komponentu HTTP Header Handler. Manipulacja argumentem X-Forwarded-For prowadzi do nieprawidłowego ograniczenia nadmiernych prób uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny. Zalecane jest zainstalowanie poprawki o identyfikatorze 11e99960e14ca986b1a001a56e7533223d2cfa5b.

Wada w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieznanej części pliku /api/open/forms/ komponentu Form Editor. Manipulacja powoduje cross site scripting. Atak może być inicjowany zdalnie. Exploit został opublikowany. Producent stwierdził, że funkcja jest wyłączona, dopóki użytkownik nie skonfiguruje własnej domeny, co łagodzi wektor ataku.

W systemie Leave Management System 1.0 firmy itsourcecode odkryto podatność na atak typu cross-site scripting (XSS) w funkcji redirect pliku /module/employee/controller.php?action=reset. Manipulacja argumentem ID umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.

W systemie Advanced Library Management System 1.0 firmy projectworlds odkryto podatność typu cross-site scripting (XSS) w nieznanej funkcji pliku /edit_admin.php. Manipulacja argumentem firstname umożliwia zdalne przeprowadzenie ataku. Exploit jest publicznie dostępny i może być wykorzystany.

Wada w code-projects Voting System 1.0 dotyczy nieznanej funkcji w pliku /admin/candidates_edit.php. Manipulacja argumentami Firstname/Lastname/Platform powoduje cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został opublikowany.

W wersjach Deno przed 2.5.3 i 2.2.15, funkcje `Deno.FsFile.prototype.stat` i `Deno.FsFile.prototype.statSync` nie są ograniczane przez model uprawnień `--deny-read=./`. Umożliwia to pobranie statystyk plików, do których użytkownik nie ma jawnego dostępu do odczytu, nawet gdy skrypt jest wykonywany z `--deny-read=./`. Wersje 2.5.3 i 2.2.15 naprawiają ten problem.