Katalog podatności CVE

Podatność w Parse Dashboard w wersjach od 7.3.0-alpha.42 do 9.0.0-alpha.7 powoduje, że pamięć podręczna `ConfigKeyCache` używa tego samego klucza dla klucza głównego i klucza głównego tylko do odczytu podczas rozwiązywania kluczy typu funkcyjnego. W określonych warunkach czasowych użytkownik z ograniczonymi uprawnieniami może otrzymać z pamięci podręcznej pełny klucz główny, a zwykły użytkownik może otrzymać klucz główny tylko do odczytu.

Parse Dashboard w wersjach od 7.3.0-alpha.42 do 9.0.0-alpha.7 nie posiada ochrony CSRF dla endpointu AI Agent (`POST /apps/:appId/agent`). Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez uwierzytelnionego użytkownika dashboardu wysyła żądania do tego endpointu, wykorzystując sesję ofiary.

GetSimpleCMS Community Edition w wersjach przed 3.3.22 zawiera podatność na trwałe XSS w funkcjonalności Theme to Components w pliku components.php. Wprowadzona przez administratora wartość w polu "slug" komponentu jest przechowywana bez odpowiedniego kodowania wyjścia, co pozwala na wykonanie dowolnego kodu JavaScript w interfejsie administracyjnym.

W podatności CVE-2026-3091 w Synology Presto Client przed wersją 2.1.3-0672 występuje niekontrolowany element ścieżki wyszukiwania, który pozwala lokalnym użytkownikom na odczyt lub zapis dowolnych plików oraz przeprowadzenie ataku typu denial-of-service podczas instalacji, poprzez umieszczenie złośliwego pliku DLL w tym samym katalogu co instalator.

W ImageMagick przed wersją 7.1.2-15 występuje wyciek pamięci w pliku `coders/ashlar.c`. Funkcja `WriteASHLARImage` alokuje strukturę, ale w przypadku wystąpienia wyjątku, pamięć nie jest prawidłowo zwalniana, co prowadzi do potencjalnego wycieku pamięci.

Bludit 3.16.2 zawiera podatność na trwały XSS w funkcji treści postów. Aplikacja przeprowadza sanityzację danych wejściowych po stronie klienta, ale nie robi tego po stronie serwera. Uwierzytelniony użytkownik może wstrzyknąć dowolny JavaScript do treści posta, który jest przechowywany i wyświetlany innym użytkownikom bez odpowiedniego kodowania wyjścia.

Bludit 3.16.1 zawiera podatność CSRF w endpointach /admin/uninstall-plugin/ i /admin/install-theme/. Brak tokenów CSRF lub walidacji pochodzenia żądań umożliwia atakującemu nakłonienie uwierzytelnionego administratora do wykonania nieautoryzowanych działań.

W SVXportal w wersji 2.5 i wcześniejszych odkryto podatność na trwałe ataki XSS w procesie aktualizacji profilu użytkownika. Zautoryzowani użytkownicy mogą wstrzykiwać złośliwy kod HTML/JavaScript do pól takich jak imię, nazwisko, email czy URL obrazka, który jest następnie wyświetlany bez odpowiedniego kodowania w interfejsie administratora, co prowadzi do wykonania skryptu w przeglądarce administratora.

Podatność na trwałe XSS w SVXportal 2.5 i starszych wersjach. Nieuwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript przez pola rejestracji użytkownika (imię, nazwisko, email), który wykona się w przeglądarce administratora podczas przeglądania listy użytkowników.

SVXportal w wersji 2.5 i wcześniejszych zawiera odbitą podatność na skrypty między witrynami (XSS) w pliku radiomobile_front.php poprzez parametr stationid. Gdy uwierzytelniony administrator wyświetli spreparowany URL, aplikacja osadza niesanitizowaną wartość parametru w ukrytym polu wejściowym, umożliwiając wstrzyknięcie i wykonanie skryptów w przeglądarce administratora.

SVXportal w wersji 2.5 i wcześniejszych zawiera odbitą podatność na skrypty między witrynami (XSS) w pliku admin/log.php poprzez parametr search. Gdy uwierzytelniony administrator otworzy spreparowany URL, aplikacja osadza niesanitizowaną wartość parametru bezpośrednio w atrybucie wartości pola HTML, co pozwala na wykonanie dostarczonego przez atakującego kodu JavaScript w przeglądarce administratora.

SVXportal w wersji 2.5 i wcześniejszych zawiera odbitą podatność na skrypty między witrynami (XSS) w pliku log.php poprzez parametr search. Aplikacja osadza niesanitizowaną wartość parametru bezpośrednio w atrybucie value elementu HTML input, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie i wykonanie dowolnego kodu JavaScript w przeglądarce ofiary, jeśli ta odwiedzi spreparowany URL.

Podatność Open Redirect w funkcji RedirectSlashes biblioteki go-chi/chi w wersji 5.2.2 i nowszych umożliwia zdalnym atakującym przekierowanie ofiar na złośliwe strony przy użyciu domeny legalnej witryny.

W jądrze systemu Linux zidentyfikowano podatność związaną z brakiem ochrony spinlock w powiadomieniach virtqueue dla urządzenia virtio-crypto. Problem występuje podczas uruchamiania polecenia benchmark openssl z wieloma procesami, co prowadzi do zawieszenia procesów openssl.

W jądrze Linuxa zidentyfikowano podatność związaną z wyciekiem licznika aktywnych połączeń w funkcji ksmbd_tcp_new_connection(). W przypadku niepowodzenia funkcji kthread_run(), transport jest zwalniany, co prowadzi do nieodpowiedniego zarządzania licznikiem active_num_conn.

W jądrze systemu Linux zidentyfikowano podatność, która prowadzi do nieskończonej pętli w przypadku błędnej weryfikacji podpisu żądania SMB2. Problem występuje, gdy funkcja __process_request() nieprawidłowo ustawia wskaźnik do następnego polecenia, co skutkuje ciągłym przetwarzaniem tego samego błędnego żądania.

Podatność CVE-2025-8308 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie INFOREX - General Information Management System, co pozwala na ataki typu XSS poprzez nagłówki HTTP. Problem ten dotyczy wersji systemu od 2025 roku i wcześniejszych do 18 lutego 2026 roku.

W Wispotter, produkcie firmy Doruk Communication and Automation Industry and Trade Inc., występuje podatność związana z niewłaściwym ograniczeniem nadmiernych prób uwierzytelnienia, co umożliwia ataki typu brute force na hasła. Problem dotyczy wersji od 1.0 do przed v2025.10.08.1.

W podatności CVE-2025-7706 w oprogramowaniu Liderahenk występuje brak uwierzytelnienia dla krytycznej funkcji, co umożliwia zdalne włączenie kodu. Problem dotyczy wersji Liderahenk od 3.0.0 do 3.3.1 przed 3.5.0.

Podatność CVE-2025-8303 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w skrypcie nieruchomości EKA Software. Umożliwia to ataki typu Cross-Site Scripting (XSS).