Katalog podatności CVE

Podatność CVE-2025-4294 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie HotelRunner B2B, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji B2B przed 04.06.2025.

Podatność CVE-2025-4284 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Agentis firmy Rolantis Information Technologies, co prowadzi do możliwości ataków typu Reflected XSS oraz DOM-Based XSS. Problem ten dotyczy wersji Agentis przed 4.32.

W podatności CVE-2025-2301 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w oprogramowaniu Akbim do rejestracji na egzaminy online. Problem ten umożliwia wykorzystanie zaufanych identyfikatorów.

Podatność CVE-2025-5681 w oprogramowaniu Turtek Software Eyotek umożliwia obejście autoryzacji poprzez wykorzystanie kluczy kontrolowanych przez użytkownika. Problem ten dotyczy wersji Eyotek przed 23.06.2025.

W Mbed TLS w wersjach od 3.6.1 do 3.6.3 przed wersją 3.6.4 występuje niezgodność czasowa w usuwaniu paddingu szyfru blokowego, co pozwala atakującemu na odzyskanie tekstu jawnego, gdy używany jest tryb paddingu PKCS#7.

W systemie StudentManage v1.0 wykryto podatność na atak typu cross-site scripting (XSS) w module dodawania nowego studenta. Umożliwia ona wstrzyknięcie złośliwego skryptu do strony.

W systemie StudentManage v1.0 wykryto podatność na atak typu cross-site scripting (XSS) w module dodawania nowego kursu. Umożliwia ona wstrzyknięcie złośliwego skryptu do strony.

W MRCMS v3.1.2 wykryto podatność na atak XSS w komponencie /admin/group/save.do. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora.

W systemie StudentManage v1.0 wykryto podatność na atak typu cross-site scripting (XSS) w module dodawania nowego nauczyciela. Umożliwia ona wstrzyknięcie złośliwego skryptu do strony.

Podatność SSRF w komponencie TunnelServlet w Agorum core open v11.9.2 i v11.10.1 umożliwia atakującym wymuszenie połączeń z dowolnymi zasobami wewnętrznymi i zewnętrznymi poprzez spreparowane żądanie. Może to prowadzić do ujawnienia wrażliwych danych.

Podatność w komponencie dynawebservice oprogramowania Agorum core open w wersjach 11.9.2 i 11.10.1 umożliwia nieuwierzytelnionym atakującym dostęp do dowolnych plików w systemie. Problem wynika z nieprawidłowej kontroli dostępu.

Podatność w Agorum core open w wersjach 11.9.2 i 11.10.1 wynika z nieprawidłowej kontroli dostępu. Umożliwia ona uwierzytelnionym atakującym eskalację uprawnień do poziomu administratora.

W oprogramowaniu Agorum core open w wersjach 11.9.2 i 11.10.1 wykryto podatność XML External Entity (XXE) w punkcie końcowym RSSReader. Umożliwia ona atakującym dostęp do wrażliwych danych poprzez dostarczenie spreparowanego wejścia XML.

W systemie StudentManage v1.0 odkryto podatność na fałszowanie żądań międzywitrynowych (CSRF). Umożliwia ona atakującemu wykonanie nieautoryzowanych działań w imieniu uwierzytelnionego użytkownika.

Podatność w aplikacji Splashin dla systemu iOS w wersji 2.0 wynika z nieprawidłowych uprawnień, co umożliwia nieautoryzowanym atakującym dostęp do danych lokalizacyjnych konkretnych użytkowników.

Aplikacja Splashin na iOS w wersji 2.0 nie wymusza po stronie serwera ograniczeń interwałów aktualizacji lokalizacji dla użytkowników darmowego poziomu.

Podatność CVE-2024-13175 dotyczy oprogramowania Vidco Software VOC TESTER, które przed wersją 12.41.0 pozwala na ominięcie autoryzacji poprzez klucz kontrolowany przez użytkownika, co umożliwia wymuszone przeglądanie.

Podatność Cross Site Scripting (XSS) w Beakon Learning Management System (SCORM) w wersji V.5.4.3 umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego skryptu przez parametr URL. Atakujący może wykorzystać tę lukę do kradzieży poufnych informacji.

Podatność w podzbiorze interfejsów REST API Cisco Prime Infrastructure i Cisco Evolved Programmable Network Manager (EPNM) umożliwia uwierzytelnionemu atakującemu z niskimi uprawnieniami przeprowadzenie ataku typu blind SQL injection. Problem wynika z niewystarczającej walidacji danych wejściowych użytkownika.

W SemCms v5.0 wykryto podatność na wstrzykiwanie SQL w parametrze lgid w pliku SEMCMS_Products.php. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.