Katalog podatności CVE

Podatność w Microsoft Edge dla systemu Android umożliwia nieautoryzowanemu atakującemu ominięcie funkcji zabezpieczającej przez sieć. Problem wynika z nieprawidłowej kontroli dostępu w przeglądarce.

W przeglądarce Microsoft Edge (opartej na Chromium) wykryto podatność polegającą na niewystarczającym ostrzeganiu użytkownika przed niebezpiecznymi operacjami. Umożliwia ona nieautoryzowanemu atakującemu przeprowadzenie ataku typu spoofing (fałszowanie) w sieci.

Podatność XSS w przeglądarce Microsoft Edge (opartej na Chromium) umożliwia nieautoryzowanemu atakującemu fałszowanie treści w sieci poprzez niewłaściwą neutralizację danych wejściowych podczas generowania strony internetowej.

Podatność typu Relative Path Traversal w przeglądarce Microsoft Edge dla systemu Android umożliwia nieautoryzowanemu atakującemu lokalne ujawnienie informacji.

Podatność typu Absolute Path Traversal w przeglądarce Microsoft Edge dla systemu Android umożliwia nieautoryzowanemu atakującemu lokalne ujawnienie informacji.

Podatność w przeglądarce Microsoft Edge (opartej na Chromium) polega na operacji na zasobie po jego wygaśnięciu lub zwolnieniu. Umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.

Podatność typu Server-Side Request Forgery (SSRF) w przeglądarce Microsoft Edge (opartej na Chromium) umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku polegającego na fałszowaniu (spoofing) w sieci.

Podatność typu Server-Side Request Forgery (SSRF) w przeglądarce Microsoft Edge (opartej na Chromium) umożliwia nieautoryzowanemu atakującemu przeprowadzenie fałszerstwa w sieci.

Podatność w przeglądarce Microsoft Edge (opartej na Chromium) umożliwia nieautoryzowanemu atakującemu ujawnienie wrażliwych informacji. Atak może być przeprowadzony zdalnie w sieci, co pozwala na fałszowanie treści.

Podatność w przeglądarce Microsoft Edge (opartej na Chromium) umożliwia ataki typu spoofing, polegające na fałszowaniu interfejsu użytkownika. Atakujący może wykorzystać tę lukę do wyświetlenia fałszywej treści w pasku adresu lub innych elementach przeglądarki, co może wprowadzić użytkownika w błąd.

Podatność w przeglądarce Microsoft Edge (opartej na Chromium) umożliwia atakującemu fałszowanie interfejsu użytkownika, co może prowadzić do oszustwa sieciowego. Luka wynika z błędnego przedstawiania krytycznych informacji w interfejsie użytkownika.

Podatność w Gitea do wersji 1.26.1 włącznie nie wymusza autoryzacji dostępu do jednostek repozytorium na punktach końcowych API szablonów zgłoszeń. Oznacza to, że nieautoryzowani użytkownicy mogą uzyskać dostęp do wrażliwych danych lub funkcji związanych z szablonami zgłoszeń.

Podatność w Gitea do wersji 1.26.2 włącznie umożliwia pominięcie kontroli zakresu tokenów API w punktach końcowych kanałów RSS i Atom repozytorium. Skutkuje to ujawnieniem danych commitów z prywatnych repozytoriów tokenom, które nie mają wymaganego zakresu dostępu do repozytorium.

Podatność w Gitea do wersji 1.26.1 włącznie powoduje niespójne filtrowanie tokenów publicznych w API organizacji użytkownika, co pozostawia niekompletną poprawkę dla CVE-2025-68941.

W komponencie Per-Project Auto-Memory Handler projektu DeepMyst Mysti do wersji 0.4.0 wykryto podatność polegającą na ujawnieniu zasobów poprzez manipulację argumentem workspacePath w funkcji initProjectMemory. Atak może być przeprowadzony zdalnie.

W systemie SourceCodester CET Automated Grading System z AI Predictive Analytics 1.0 wykryto podatność na fiksację sesji. Problem wynika z nieprawidłowego przetwarzania danych, co pozwala atakującemu na narzucenie sesji użytkownikowi. Atak jest zdalny, ale wymaga wysokiego poziomu złożoności i jest oceniany jako trudny do wykorzystania.

W implementacji algorytmu AES-WRAP-PAD w rozszerzeniu OpenSSL dla PHP występuje błąd alokacji bufora. Bufor wyjściowy dla operacji zawijania klucza z dopełnieniem jest określany na podstawie długości tekstu jawnego bez uwzględnienia rozszerzenia RFC 5649, co może prowadzić do zapisu poza przydzieloną pamięcią.

W systemie SourceCodester CET Automated Grading System z AI Predictive Analytics 1.0 wykryto podatność polegającą na obejściu autoryzacji. Problem występuje w pliku /index.php?action=view_student, gdzie manipulacja argumentem ID pozwala na nieautoryzowany dostęp.

Podatność w webpack-dev-server w wersjach 5.2.5 i wcześniejszych powoduje zakończenie procesu Node.js po otrzymaniu nieautoryzowanego żądania HTTP z nieprawidłowym nagłówkiem Host lub WebSocket z nieprawidłowym nagłówkiem Origin. Błąd w walidacji hosta prowadzi do nieobsłużonego wyjątku i awarii serwera deweloperskiego.

W interfejsie administracyjnym Keycloak wykryto podatność, która umożliwia administratorom z ograniczonymi uprawnieniami podgląd informacji o grupach, do których nie powinni mieć dostępu. Gdy włączone są nowe szczegółowe uprawnienia administracyjne (FGAP v2), administrator widzący konkretną rolę może również zobaczyć listę wszystkich grup przypisanych do tej roli, bez weryfikacji uprawnień do tych grup.