Katalog podatności CVE

W Centreon Infra Monitoring (moduł importu Awie) występuje podatność polegająca na braku uwierzytelnienia dla krytycznych funkcji, co pozwala na dostęp do funkcji nieodpowiednio ograniczonych przez ACL. Problem dotyczy wersji: od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.3, od 24.04.0 przed 24.04.3.

Podatność CVE-2023-50897 w aplikacji Meow Apps Media File Renamer pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia wykorzystanie złośliwych plików. Problem dotyczy wersji Media File Renamer od n/a do 5.7.7.

W podatności CVE-2025-68865 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Infility Global. Problem ten dotyczy wersji od n/a do 2.15.06 włącznie.

Podatność CVE-2025-31048 w Themify Shopo umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala na przesłanie powłoki sieciowej na serwerze WWW. Problem ten dotyczy wersji Shopo od n/a do 1.1.4.

Podatność CVE-2025-30633 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w Amazon Native Shopping Recommendations. Problem ten dotyczy wersji od n/a do 1.3.

W usłudze VPN nCloud firmy Nuvation Energy występuje podatność umożliwiająca przekroczenie granicy sieci (Network Boundary Bridging). Problem został naprawiony 1 grudnia 2025 r. Użytkownicy końcowi nie muszą podejmować żadnych działań w celu złagodzenia problemu.

W Nuvation Energy Multi-Stack Controller (MSC) występuje niezamierzona podatność typu Proxy lub Intermediary, która umożliwia mostkowanie granic sieci. Problem ten dotyczy wersji Multi-Stack Controller (MSC) od 2.5.1 włącznie.

Podatność CVE-2025-64121 w kontrolerze Multi-Stack (MSC) firmy Nuvation Energy umożliwia obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten dotyczy wersji kontrolera MSC od 2.3.8 do przed 2.5.1.

W systemie zarządzania baterią Nuvation występuje podatność umożliwiająca obejście uwierzytelniania. Problem dotyczy wersji do 2.3.9 włącznie.

Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera przez parametr type, co może prowadzić do zdalnego wykonania kodu lub innego wykorzystania. Wersja 2.3.10 naprawia problem.

Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera. Gdy zwykły klient zamawia produkt, w kroku "dodaj adres" może wstrzyknąć wartość, która zostanie wykonana w widoku administratora. Problem może prowadzić do zdalnego wykonania kodu. Wersja 2.3.10 zawiera poprawkę.

Bagisto to platforma eCommerce oparta na Laravel. W wersjach z gałęzi 2.3 przed 2.3.10, trasy API pozostają aktywne nawet po zakończeniu instalacji. Podstawowe punkty końcowe API (`/install/api/*`) są bezpośrednio dostępne i możliwe do wykorzystania bez uwierzytelniania. Atakujący może całkowicie ominąć instalator, wywołując punkty API bezpośrednio. Pozwala to każdemu nieuwierzytelnionemu atakującemu na tworzenie kont administratora, modyfikację konfiguracji aplikacji i potencjalne nadpisanie istniejących danych. Wersja 2.3.10 naprawia problem.

Langflow to narzędzie do budowania i wdrażania agentów i przepływów pracy opartych na AI. Przed wersją 1.7.0.dev45 wiele krytycznych punktów końcowych API w Langflow nie ma kontroli uwierzytelniania. Problem pozwala każdemu nieuwierzytelnionemu użytkownikowi na dostęp do wrażliwych danych rozmów użytkowników, historii transakcji oraz wykonywanie destrukcyjnych operacji, w tym usuwanie wiadomości. Dotyczy to punktów końcowych obsługujących dane osobowe i operacje systemowe, które powinny wymagać odpowiedniej autoryzacji. Wersja 1.7.0.dev45 zawiera poprawkę.

AdonisJS (framework web TypeScript) ma podatność na path traversal w obsłudze plików multipart, co pozwala zdalnemu atakującemu na zapis dowolnych plików w dowolnych lokalizacjach na serwerze. Dotyczy to @adonisjs/bodyparser do wersji 10.1.1 i wersji przedpremierowych 11.x przed 11.0.0-next.6.

Emlog (system budowy stron internetowych) w wersji 2.5.23 ma podatność na CSRF w funkcji tworzenia artykułów. Może to doprowadzić do wymuszenia opublikowania artykułu z dowolną treścią kontrolowaną przez atakującego. W połączeniu z przechowywanym XSS prowadzi to do przejęcia konta.

W gpsd przed commit dc966aa wykryto podatność polegającą na zapisie poza dozwolonym obszarem pamięci sterty w pliku drivers/driver_nmea2000.c. Funkcja hnd_129540, obsługująca pakiety NMEA2000 PGN 129540, nie weryfikuje liczby satelitów podanej przez użytkownika względem rozmiaru tablicy skyview (184 elementy). Atakujący może podać liczbę satelitów do 255, co prowadzi do zapisu poza tablicą, powodując uszkodzenie pamięci, odmowę usługi (DoS) i potencjalnie wykonanie dowolnego kodu.

W produkcie Hyper Data Protector zgłoszono podatność na wstrzyknięcie SQL. Zdalni atakujący mogą wykorzystać tę podatność do wykonania nieautoryzowanego kodu lub poleceń. Podatność została naprawiona w wersji 2.2.4.1 i późniejszych.

W produkcie Malware Remover zgłoszono podatność na nieprawidłową kontrolę generowania kodu. Zdalni atakujący mogą wykorzystać tę podatność do obejścia mechanizmu ochrony. Podatność została naprawiona w wersji 6.6.8.20251023 i późniejszych.

Podatność SQL injection w aplikacji online-movie-booking w pliku movie_details.php umożliwia atakującym uzyskanie wrażliwych informacji.

Wtyczka Branda dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do i włącznie z 3.4.24. Problem wynika z niewłaściwej weryfikacji tożsamości użytkownika przed aktualizacją hasła.