Katalog podatności CVE

W htmly do wersji 3.1.0 wykryto podatność cross-site scripting (XSS) w pliku /htmly/admin/field/post, w komponencie Custom Field Handler. Manipulacja argumentem label prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

Mattermost w wersjach 10.5.x <= 10.5.8 oraz 9.11.x <= 9.11.17 nieprawidłowo weryfikuje kontrolę dostępu, co pozwala każdemu uwierzytelnionemu użytkownikowi na pobieranie wrażliwych plików przez endpoint pobierania plików tablicy przy użyciu enumeracji UUID.

Aplikacje klienckie PureVPN na Linux do września 2025 nieprawidłowo obsługują zaporę sieciową: podczas łączenia z serwerem VPN opróżniają istniejące reguły iptables i ustawiają domyślne polityki ACCEPT. Usuwa to reguły zapory skonfigurowane ręcznie lub przez inne oprogramowanie (np. UFW, silniki kontenerów, polityki bezpieczeństwa systemu). Po rozłączeniu VPN pierwotny stan zapory nie jest przywracany, co może narazić system na ruch sieciowy, który wcześniej był blokowany. Dotyczy CLI 2.0.1 i GUI 2.10.0.

Aplikacje klienckie PureVPN na Linux do września 2025 pozwalają na wyciek ruchu IPv6 poza tunel VPN przy zdarzeniach sieciowych, takich jak ponowne połączenie Wi-Fi lub wznowienie systemu. W kliencie CLI VPN automatycznie się łączy i twierdzi, że jest połączony, ale ruch IPv6 nie jest już routowany ani blokowany; w kliencie GUI połączenie IPv6 pozostaje aktywne do momentu kliknięcia Połącz ponownie. Prawdziwy adres IPv6 jest ujawniany zewnętrznym usługom, co narusza prywatność i obchodzi reklamowaną ochronę przed wyciekiem IPv6. Dotyczy CLI 2.0.1 i GUI 2.10.0.

SoftIron HyperCloud w wersjach 2.5.0 do 2.6.3 może w pewnych warunkach nieprawidłowo dodawać klucze SSH użytkownika do kluczy autoryzowanych na poziomie administratora, umożliwiając nieuprawnione podniesienie uprawnień do administratora przez SSH. Dotyczy to nieprodukcyjnych kompilacji debugowych i wewnętrznych kompilacji deweloperskich.

Podatność w systemie e-learning youth-is-as-pale-as-poetry 1.0. Funkcja encryptSecret w pliku JwtUtils.java komponentu JWT Token Handler prowadzi do niewystarczająco losowych wartości. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.

W Tor (do wersji 0.4.7.16/0.4.8.17) obsługa deskryptorów usług onion prowadzi do zużycia zasobów. Atak można zainicjować zdalnie, ma on wysoką złożoność i jest trudny do wykorzystania; zaleca się aktualizację do wersji 0.4.8.18 lub 0.4.9.3-alpha.

W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność typu cross-site scripting w pliku /intranet/educar_funcao_cad.php (komponent Editar Função Page). Manipulacja argumentami abreviatura/tipoacao pozwala na zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.

Podatność została zidentyfikowana w Portabilis i-Educar do wersji 2.10. Dotyczy nieznanej funkcji pliku /intranet/educar_calendario_anotacao_cad.php. Manipulacja argumentami nm_anotacao/descricao prowadzi do cross-site scripting. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty.

Element Web i Element Desktop przed wersją 1.11.112 mają niewystarczającą walidację linków poprzednika pokoju, co pozwala zdalnemu atakującemu na tymczasowe zastąpienie wpisu pokoju na liście pokojów niepowiązanym pokojem dostarczonym przez atakującego. Efekt jest tymczasowy, ale może zdezorientować użytkowników i skłonić do działania na podstawie błędnych założeń. Problem został naprawiony, a użytkownicy powinni zaktualizować do wersji 1.11.112.

Click Studios Passwordstate w wersjach przed 9.9 Build 9972 posiada potencjalne obejście uwierzytelniania dla funkcji dostępu awaryjnego (Emergency Access). Poprzez użycie spreparowanego adresu URL na stronie Emergency Access nieuprawniona osoba może uzyskać dostęp do sekcji administracyjnej Passwordstate.

W systemach Apple wystąpił problem związany z ujawnieniem poufnych informacji, który został rozwiązany poprzez lepsze redagowanie danych. Podatność naprawiono w iOS 18.7, iPadOS 18.7, iOS 26, iPadOS 26, macOS Sequoia 15.7, macOS Sonoma 14.8 oraz macOS Tahoe 26. Aplikacja może być w stanie fingerprintować użytkownika.

W systemach Apple (iOS, iPadOS, macOS, tvOS, visionOS, watchOS) występuje błąd zapisu poza granicami bufora, który został naprawiony poprzez poprawioną walidację danych wejściowych. Przetwarzanie złośliwie spreparowanego pliku wideo może prowadzić do nieoczekiwanego zakończenia aplikacji. Podatność naprawiono w iOS 18.7, iPadOS 18.7, iOS 26, iPadOS 26, macOS Sequoia 15.7, macOS Sonoma 14.8, macOS Tahoe 26, tvOS 26, visionOS 26, watchOS 26.

Podatność typu out-of-bounds access w systemach Apple została naprawiona poprzez poprawę sprawdzania granic. Problem występuje w iOS 26, iPadOS 26, macOS Tahoe 26, tvOS 26, visionOS 26 i watchOS 26. Aplikacja może spowodować nieoczekiwane zakończenie działania systemu.

Wystąpił problem w obsłudze zmiennych środowiskowych, który naprawiono poprzez poprawę walidacji. Luka występuje w iOS 26.1, iPadOS 26.1, macOS Tahoe 26, tvOS 26.1 i watchOS 26.1. Aplikacja może uzyskać dostęp do poufnych danych użytkownika.

feiskyer mcp-kubernetes-server do wersji 0.1.11 nie uwzględnia łańcuchowych komend w implementacji opcji --disable-write i --disable-delete, np. pozwala na wykonanie komendy "kubectl version; kubectl delete pod", ponieważ pierwsze słowo ("version") nie jest operacją zapisu ani usuwania.

Wersje Mattermost 10.5.x <= 10.5.9 nieprawidłowo weryfikują adresy URL przekierowań, co pozwala atakującym na przekierowanie użytkowników do złośliwych witryn za pomocą spreparowanych adresów URL logowania OAuth.

W IbuyuCMS do wersji 2.6.3 wykryto podatność w nieznanej funkcji pliku /admin/article.php?a=mod w komponencie Add Article Page. Manipulacja argumentem Title prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

W newbee-mall 1.0 funkcja mallKaptcha w pliku /common/mall/kaptcha generuje captchę, którą można odgadnąć. Atak można przeprowadzić zdalnie, ma on wysoką złożoność i jest trudny do wykorzystania, a exploit jest publicznie dostępny.

Z powodu błędu w API Zabbix metoda hostprototype.get zwraca listę wszystkich prototypów hostów użytkownikom, którzy nie mają przypisanych żadnych grup użytkowników. Może to prowadzić do nieautoryzowanego ujawnienia informacji o prototypach hostów.