Katalog podatności CVE

Podatność CVE-2025-50002 w Farost Energia pozwala na nieograniczone przesyłanie plików z niebezpiecznymi typami, co umożliwia przesłanie powłoki sieciowej na serwerze WWW. Problem ten dotyczy wersji Energia od n/a do 1.1.2 włącznie.

W podatności CVE-2025-49055 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WP Lead Capturing Pages w wersjach od n/a do 2.5.

Oprogramowanie Tenda AX3 v16.03.12.11 zawiera przepełnienie bufora oparte na stosie w funkcji formGetIptv z powodu nieprawidłowego obsługiwania bufora stosu stbpvid, co może prowadzić do uszkodzenia pamięci i zdalnego wykonania kodu.

NervesHub to usługa internetowa umożliwiająca zarządzanie aktualizacjami oprogramowania urządzeń w terenie. Wersje od 1.0.0 do 2.3.0 zawierały podatność, która pozwalała atakującym na łamanie tokenów API użytkowników z powodu przewidywalnego formatu tych tokenów, co mogło prowadzić do nieautoryzowanego dostępu do kont użytkowników.

MeetingHub opracowany przez HAMASTAR Technology ma podatność na arbitralne przesyłanie plików, co pozwala nieautoryzowanym zdalnym atakującym na przesyłanie i uruchamianie backdoorów w postaci powłok webowych, co umożliwia wykonanie dowolnego kodu na serwerze.

Wtyczka LA-Studio Element Kit dla Elementora w WordPressie jest podatna na tworzenie użytkowników administracyjnych we wszystkich wersjach do i włącznie z 1.5.6.3. Problem wynika z funkcji 'ajax_register_handle', która nie ogranicza ról użytkowników, jakie mogą być przypisane podczas rejestracji.

Appsmith to platforma do budowy paneli administracyjnych, narzędzi wewnętrznych i pulpitów. W wersjach 1.94 i poniżej, aplikacje dostępne publicznie pozwalają nieautoryzowanym użytkownikom na wykonywanie działań w trybie edycji poprzez wysłanie viewMode=false (lub pominięcie go) do POST /api/v1/actions/execute.

Grist to oprogramowanie arkusza kalkulacyjnego, które używa Pythona jako języka formuł. Istnieje luka, która pozwala na uruchamianie złośliwych dokumentów w piaskownicy, co może prowadzić do uruchamiania dowolnych procesów na serwerze Grist, jeśli użytkownik ustawi `GRIST_SANDBOX_FLAVOR` na `pyodide`.

W bibliotece sm-crypto, która implementuje chińskie algorytmy kryptograficzne SM2, SM3 i SM4, występuje podatność na odzyskanie klucza prywatnego w logice deszyfrowania SM2 przed wersją 0.3.14. Atakujący może odzyskać klucz prywatny po wielokrotnym interakcji z interfejsem deszyfrowania SM2.

Dataease to narzędzie do analizy wizualizacji danych typu open source. Przed wersją 2.10.19, DataEase używał hasha MD5 hasła użytkownika jako sekretu do podpisywania JWT, co umożliwiało atakującym przeprowadzenie ataku brute-force na hasło administratora poprzez wykorzystanie niemonitorowanych punktów końcowych API weryfikujących tokeny JWT.

Hustoj to otwartoźródłowy system oceny online, który jest podatny na atak CSV Injection (wstrzykiwanie formuł) poprzez funkcjonalność eksportu rankingu konkursu. Aplikacja nie sanitizuje danych wejściowych użytkownika w polu 'Nickname' przed eksportem do pliku .xls, co pozwala na wykonanie formuły Excel przez złośliwego użytkownika.

Laravel Reverb to backend komunikacji WebSocket w czasie rzeczywistym dla aplikacji Laravel. W wersjach 1.6.3 i starszych, Reverb przekazuje dane z kanału Redis bez ograniczeń dotyczących klas, które mogą być zainicjowane, co naraża użytkowników na zdalne wykonanie kodu.

Fleet to oprogramowanie do zarządzania urządzeniami typu open source. W wersjach wcześniejszych niż 4.78.3, 4.77.1, 4.76.2, 4.75.2 i 4.53.3 występuje podatność w procesie rejestracji MDM dla systemu Windows, która pozwala atakującemu na przesyłanie fałszywych tokenów uwierzytelniających, które nie są odpowiednio weryfikowane.

5ire to wieloplatformowy asystent AI i klient protokołu MCP. Przed wersją 0.15.3 podatność w pluginie ECharts Markdown pozwalała na wykonanie dowolnego kodu JavaScript w kontekście renderera, co może prowadzić do zdalnego wykonania kodu (RCE) w środowiskach z dostępnymi uprzywilejowanymi API, takimi jak electron.mcp, i pełnego przejęcia systemu. Wersja 0.15.3 naprawia ten problem.

5ire przed wersją 0.15.3 zawiera podatność polegającą na niebezpiecznym renderowaniu HTML, które pozwala na wykonanie niezaufanego HTML (w tym atrybutów zdarzeń on*) w kontekście renderera. Atakujący może wstrzyknąć payload typu <img onerror=...> i wykonać dowolny JavaScript, co umożliwia wywołanie mostkowanych API, takich jak window.bridge.mcpServersManager.createServer, prowadząc do nieautoryzowanego tworzenia serwerów MCP i zdalnego wykonania poleceń. Wersja 0.15.3 naprawia problem.

Oprogramowanie sprzętowe Tenda AX3 w wersji v16.03.12.11 zawiera przepełnienie bufora oparte na stosie w funkcji formGetIptv z powodu nieprawidłowego obsługiwania bufora stosu citytag, co może prowadzić do uszkodzenia pamięci i zdalnego wykonania kodu.

Oprogramowanie sprzętowe Tenda AX3 w wersji v16.03.12.11 zawiera przepełnienie stosu w funkcji formSetIptv przez parametr vlanId, co może powodować uszkodzenie pamięci i umożliwić zdalne wykonanie kodu.

Oprogramowanie sprzętowe Tenda AX3 w wersji v16.03.12.11 zawiera przepełnienie stosu w funkcji formSetIptv przez parametr list, co może powodować uszkodzenie pamięci i umożliwić zdalne wykonanie kodu.

GeoGebra CAS Calculator w wersji 6.0.631.0 zawiera podatność na odmowę usługi, która pozwala atakującym na zablokowanie aplikacji poprzez wygenerowanie dużego przepełnienia bufora. Atakujący mogą stworzyć ładunek z 8000 powtórzonych znaków i wkleić go w pole wejściowe kalkulatora, co prowadzi do awarii aplikacji.