Katalog podatności CVE

Podatność SQL Injection w platformie monitorowania inteligentnych wodomierzy firmy Shandong Kede Electronics Co., Ltd w wersji 1.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez plik imei_list.aspx.

W MediaCrush w wersji do 1.0.1 odkryto problem, który pozwala zdalnym, nieautoryzowanym atakującym na przesyłanie dowolnych plików o dowolnym rozmiarze do punktu końcowego /upload.

System zarządzania audytem YouDataSum CPAS w wersjach do 4.9 jest podatny na atak typu SQL Injection w punkcie końcowym /cpasList/findArchiveReportByDah z powodu niewystarczającej walidacji danych wejściowych. Umożliwia to zdalnym, nieautoryzowanym atakującym wykonywanie dowolnych poleceń SQL poprzez odpowiednio skonstruowane dane wejściowe.

Wersje Rapid7 InsightVM przed 8.34.0 zawierają problem z weryfikacją podpisu na chmurowym punkcie końcowym Assertion Consumer Service (ACS), co może umożliwić atakującemu uzyskanie nieautoryzowanego dostępu do kont InsightVM skonfigurowanych za pomocą instalacji 'Security Console'. Problem ten prowadzi do pełnego przejęcia konta.

Podatność CVE-2025-5319 dotyczy systemu zarządzania efektywnością DIGITA, który jest podatny na atak typu SQL Injection. Problem polega na niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.

Podatność na wstrzykiwanie SQL w platformie Buroweb w wersji 2505.0.12, w komponencie 'tablon'. Wiele parametrów w punkcie końcowym '/sta/CarpetaPublic/doEvent?APP_CODE=STA&PAGE_CODE=TABLON' nie poprawnie sanityzuje danych wejściowych użytkownika. Wykorzystanie tej podatności może pozwolić atakującemu na wykonywanie zapytań do bazy danych i uzyskanie dostępu do poufnych informacji.

W urządzeniach punktów dostępu bezprzewodowego ELECOM występuje podatność na przepełnienie bufora na stosie. Odpowiednio skonstruowany pakiet może prowadzić do wykonania dowolnego kodu.

Podatność CVE-2026-24936 dotyczy niewłaściwej walidacji parametrów wejściowych w określonym programie CGI, co pozwala nieautoryzowanemu zdalnemu atakującemu na zapis dowolnych danych do plików na systemie podczas dołączania do domeny AD z ADM. Wykorzystanie tej podatności może prowadzić do nadpisania krytycznych plików systemowych, co skutkuje całkowitym kompromitowaniem systemu.

Podatność w MediaWiki związana z plikami programowymi includes/Api/ApiFormatXml.Php. Dotyczy wersji MediaWiki przed 1.39.16, 1.43.6, 1.44.3 oraz 1.45.1.

SandboxJS to biblioteka do sandboxingu JavaScript. W wersjach przed 0.8.27, SandboxJS nie ogranicza poprawnie funkcji __lookupGetter__, co może prowadzić do uzyskania prototypów i umożliwić ucieczkę z sandboxa lub zdalne wykonanie kodu.

Pakiet Odoo w NixOs, będący systemem ERP i CRM, w wersjach od 21.11 do przed 25.11 oraz 26.05, publicznie udostępnia menedżera bazy danych bez jakiejkolwiek autoryzacji. Umożliwia to nieautoryzowanym osobom usunięcie i pobranie całej bazy danych, w tym plików Odoo.

Podatność w serwerze Matrix continuwuity napisanym w Rust pozwala atakującemu z złośliwego zdalnego serwera na spowodowanie podpisania dowolnego zdarzenia przez lokalny serwer po interakcji użytkownika. Gdy konto użytkownika opuszcza pokój (odrzucając zaproszenie), dołącza do pokoju lub puka do pokoju, serwer ofiary może poprosić zdalny serwer o pomoc. Jeśli ofiara poprosi serwer atakującego, atakujący może dostarczyć dowolne zdarzenie, które ofiara podpisze i zwróci atakującemu. Dla punktu /leave działa to dla dowolnego zdarzenia z obsługiwaną wersją pokoju, gdzie origin i origin_server_ts są ustawiane przez ofiarę. Dla /join wymagane jest dodatkowe pole treści ustawione przez ofiarę w formacie członkostwa join. Dla /knock wymagane jest dodatkowe pole treści ustawione przez ofiarę w formacie członkostwa knock oraz wersja pokoju nie między 1 a 6.

Signal K Server to aplikacja serwerowa działająca jako centralny hub na łodzi. Przed wersją 1.5.0 istniała podatność na wstrzykiwanie poleceń, która pozwalała uwierzytelnionym użytkownikom z uprawnieniami do zapisu na wykonywanie dowolnych poleceń powłoki na serwerze Signal K, gdy wtyczka set-system-time była włączona.

Podatność w vLLM od wersji 0.8.3 do 0.14.0 pozwala na wyciek adresu sterty poprzez wysłanie nieprawidłowego obrazu do endpointu multimodalnego. Wyciek ten redukuje skuteczność ASLR z 4 miliardów do około 8 prób, co ułatwia przeprowadzenie ataku.

W Wildfire IM, przed wersją 1.4.3, występuje krytyczna podatność w komponencie im-server związana z funkcjonalnością przesyłania plików. Aplikacja udostępnia punkt końcowy (/fs), który obsługuje przesyłanie plików wieloczęściowych, ale nieprawidłowo sanitizuje nazwę pliku podaną przez użytkownika, co pozwala na ataki.

Podatność CVE-2022-50981 pozwala nieautoryzowanemu zdalnemu atakującemu na uzyskanie pełnego dostępu do dotkniętych urządzeń, które są dostarczane bez domyślnego hasła, a jego ustawienie nie jest wymuszane.

Podatność w h2oai/h2o-3 w wersji 3.46.0.1 pozwala zdalnym atakującym na zapis dowolnych danych do dowolnego pliku na serwerze. Wykorzystując punkt końcowy `/3/Parse`, atakujący mogą wstrzykiwać kontrolowane przez siebie dane jako nagłówek pustego pliku, który następnie jest eksportowany za pomocą punktu końcowego `/3/Frames/framename/export`.

W aplikacji parisneo/lollms-webui występuje podatność typu Local File Inclusion (LFI) w punkcie końcowym '/reinstall_extension', związana z parametrem `name`. Umożliwia ona atakującym wstrzykiwanie złośliwego parametru `name`, co prowadzi do ładowania i wykonywania dowolnych plików Pythona z katalogu przesyłania.

W systemie Thread występuje możliwe zapisanie danych poza przydzielonym obszarem pamięci z powodu braku odpowiedniego sprawdzenia granic. Może to prowadzić do zdalnego eskalowania uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.

W sterowniku WLAN STA występuje możliwe podniesienie uprawnień z powodu braku sprawdzenia granic. Może to prowadzić do lokalnego podniesienia uprawnień, wymagając jedynie uprawnień użytkownika do wykonania ataku.