Katalog podatności CVE

Błąd w interfejsie użytkownika Microsoft Exchange Server prowadzi do błędnej prezentacji krytycznych informacji, co umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku spoofingowego w sieci.

W phpIPAM v1.7.3 odkryto podatność na atak XSS w formularzu Request IP. Luka umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr instructions w żądaniu do endpointu /app/admin/instructions/edit-result.php.

Podatność CVE-2025-6924 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software e-BAP Automation, co pozwala na wystąpienie ataków typu Reflected XSS.

Podatność CVE-2025-6923 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software UNIS, co pozwala na ataki typu Reflected XSS.

Podatność CVE-2025-10876 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software e-BAP Automation, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji e-BAP Automation od 1.8.96 do przed v.41815.

W usłudze załączników w usememos memos v0.25.2 brak walidacji nazw plików umożliwia atakującym wykonanie path traversal. Podatność pozwala na dostęp do plików poza zamierzonym katalogiem.

Podatność w usłudze Identity Provider w usememos memos v0.25.2 umożliwia atakującym z niskimi uprawnieniami modyfikację lub usunięcie zarejestrowanych dostawców tożsamości. Może to prowadzić do przejęcia konta lub ataku typu Denial of Service (DoS).

W wielu plikach istnieje możliwość ujawnienia informacji między użytkownikami z powodu braku sprawdzenia uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami dowolną modyfikację lub usuwanie załączników utworzonych przez innych użytkowników.

W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami arbitralne usuwanie reakcji dodanych do notatek innych użytkowników.

Podatność w module zarządzania oknami związana z kontrolą uprawnień. Jej wykorzystanie może wpłynąć na dostępność systemu.

W bibliotece util-linux wykryto podatność polegającą na odczycie poza zakresem sterty podczas przetwarzania 256-bajtowych nazw użytkowników w funkcji `setpwnam()`. Problem dotyczy narzędzi SUID (Set User ID) w login-utils, które zapisują do bazy haseł.

Podatność na przesyłanie plików w telefonie Fanvil x210 V2 w wersji 2.12.20 umożliwia nieuwierzytelnionym atakującym w lokalnej sieci zapisywanie dowolnych plików w systemie plików urządzenia.

W urządzeniu Fanvil x210 V2 w wersji 2.12.20 wykryto podatność, która umożliwia nieuwierzytelnionym atakującym w lokalnej sieci wykonanie dowolnych poleceń systemowych.

Podatność w HCLTech GRAGON przed wersją 7.6.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez API, które nie ograniczają liczby ani rozmiaru żądań.

W produkcie HCLTech DRAGON przed wersją 7.6.0 wykryto podatność na atak typu Cross Site Scripting (XSS). Brak odpowiednich dyrektyw bezpieczeństwa umożliwia zdalnemu atakującemu wykonanie dowolnego kodu w kontekście przeglądarki ofiary.

Podatność w Aquarius Desktop 3.0.069 dla macOS polega na przechowywaniu danych uwierzytelniających użytkownika w pliku lokalnym przy użyciu słabego schematu zaciemniania. Hasło jest „szyfrowane” przez przewidywalną substytucję bajtów, którą można łatwo odwrócić, co umożliwia natychmiastowe odzyskanie jawnego tekstu.

Podatność na trwałe skryptowanie między witrynami (XSS) w punkcie końcowym PwdGrp.cgi urządzenia AVTECH DGM1104 umożliwia atakującym wstrzyknięcie złośliwego kodu JavaScript lub HTML do pola nazwy użytkownika. Skuteczne wykorzystanie podatności pozwala na wykonanie dowolnych skryptów w kontekście przeglądarki ofiary.

W produkcie AVTECH SECURITY DGM1104 (wersja FullImg-1015-1004-1006-1003) wykryto uwierzytelnioną podatność na wstrzykiwanie poleceń w funkcji test_mail. Luka umożliwia atakującemu wykonanie dowolnych poleceń systemowych poprzez spreparowane dane wejściowe.

W ImageMagick, przed wersjami 7.1.2-9 i 6.9.13-34, występuje podatność w warstwie Magick++, która pojawia się, gdy Options::fontFamily jest wywoływane z pustym ciągiem. To prowadzi do zwolnienia pamięci, ale pozostawia wskaźnik na zwolnionej pamięci, co może skutkować awariami lub uszkodzeniem sterty.