Katalog podatności CVE

W jądrze Linuxa zidentyfikowano podatność związaną z obsługą odpinania sterownika podczas operacji odczytu i zapisu. Wprowadzone zmiany implementują licznik odniesień, który pozwala na bezpieczne usunięcie urządzeń przed odpięciem sterownika.

Podatność CVE-2025-8884 dotyczy oprogramowania ACE Center firmy VHS Electronic Software Ltd. Co. i pozwala na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika, co może prowadzić do nadużycia uprawnień oraz wykorzystania zaufanych identyfikatorów.

Podatność Stored XSS w komponencie czatu CobbleStone Enterprise Contract Management Portal w wersji 22.4.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu w przeglądarce ofiary. Producent informuje, że problem dotyczy wyłącznie przestarzałej, niewspieranej wersji, która nie jest już używana.

W pliku mexcel.php w Vfront 0.99.52 występuje podatność na deserializację niesprawdzonego wejścia użytkownika. Funkcja unserialize jest wywoływana na danych z $_POST['mexcel'] po dekodowaniu base64, bez walidacji i bez ograniczenia dozwolonych klas. Umożliwia to atakującemu wstrzyknięcie dowolnych obiektów PHP, co może prowadzić do zdalnego wykonania kodu, wstrzyknięcia SQL, przejścia ścieżek lub odmowy usługi.

W kodzie źródłowym ATLAS-EPIC w commit f29312c (z 2025-05-26) znaleziono zakodowane na stałe poświadczenia (hardcoded credentials). Oznacza to, że dane uwierzytelniające są bezpośrednio osadzone w repozytorium, co umożliwia ich odczytanie każdemu, kto ma dostęp do kodu.

Podatność w narzędziu luksmeta dla formatu LUKS1 umożliwia uszkodzenie danych przez zapis zbyt dużej ilości metadanych. Brak walidacji dostępnego miejsca powoduje nadpisanie i trwałe zniszczenie zaszyfrowanych danych użytkownika.

W module vfs_streams_xattr oprogramowania Samba stwierdzono wadę polegającą na zapisywaniu niezainicjalizowanej pamięci sterty do alternatywnych strumieni danych. Umożliwia to uwierzytelnionemu użytkownikowi odczytanie resztkowej zawartości pamięci, która może zawierać wrażliwe dane, prowadząc do wycieku informacji.

Podatność typu Reflected XSS w FortiOS, FortiProxy i FortiSASE umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów w przeglądarce ofiary poprzez spreparowane żądania HTTP. Problem wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania strony internetowej.

W MCMS v6.0.1 wykryto podatność umożliwiającą dowolne przesyłanie plików. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu poprzez przesłanie spreparowanego pliku.

W systemie Simple Online Hotel Reservation System 1.0 wykryto podatność na atak XSS w funkcji dodawania pokoju. Złośliwy kod JavaScript wprowadzony w polu Description może wykraść ciasteczka administratora podczas przeglądania informacji o pokoju.

Podatność CVE-2025-8887 w systemie Aybs Interaktif firmy Usta Information Systems Inc. umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, co prowadzi do wymuszonego przeglądania, wstrzykiwania parametrów oraz manipulacji danymi wejściowymi. Problem ten występuje od 2024 roku do 28 sierpnia 2025 roku.

Podatność CVE-2025-8886 dotyczy niewłaściwego przypisania uprawnień do krytycznych zasobów w systemie Aybs Interaktif, co prowadzi do możliwości nadużycia uprawnień oraz ominięcia autoryzacji. Problem ten może skutkować ujawnieniem wrażliwych informacji osobom nieuprawnionym.

W systemie Simple Scheduling System 1.0 od code-projects wykryto podatność na atak typu Cross Site Scripting (XSS) w polu Subject Description. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony.

W systemie code-projects Client Details System 1.0 wykryto podatność na atak XSS. Podczas dodawania informacji o kliencie, złośliwy kod JavaScript może zostać wprowadzony w polu nazwy użytkownika.

W WukongCRM-9.0-JAVA wykryto podatność na deserializację fastjson w interfejsie /OaExamine/setOaExamine. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu.

Moduł 'zipfile' w Pythonie nie sprawdzał poprawności wartości offsetu w rekordzie lokalizatora ZIP64 EOCD. Zamiast tego zakładał, że rekord ZIP64 EOCD znajduje się bezpośrednio przed nim. Można to wykorzystać do tworzenia archiwów ZIP, które są obsługiwane inaczej przez moduł 'zipfile' niż przez inne implementacje ZIP. Poprawka utrzymuje to zachowanie, ale sprawdza, czy offset określony w rekordzie lokalizatora jest zgodny z oczekiwaną wartością.

Podatność typu Directory Traversal w serwerze czasu sieciowego EndRun Technologies Sonoma D12 (GPS) z oprogramowaniem F/W 6010-0076-000 Ver 4.00 umożliwia atakującym dostęp do poufnych informacji.

W urządzeniu EndRun Technologies Sonoma D12 Network Time Server (GPS) z oprogramowaniem F/W 6010-0071-000 Ver 4.00 wykryto podatność na Cross Site Scripting (XSS). Umożliwia ona atakującym kradzież wrażliwych informacji oraz potencjalnie inne nieokreślone skutki.

Podatność CVE-2025-0609 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Logo Cloud od Logo Software Inc., co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji przed 1.18.

Podatność typu 'Open Redirect' w Logo Cloud firmy Logo Software Inc. umożliwia przekierowanie użytkowników na nieznane, potencjalnie złośliwe strony. Problem ten dotyczy wersji Logo Cloud przed 2025.R6.