Katalog podatności CVE

AVideo w wersjach od 14.3.1 do 20.1 zawiera nieuwierzytelnioną podatność na zdalne wykonanie kodu spowodowaną przewidywalnym generowaniem soli instalacyjnej przy użyciu PHP uniqid(). Znacznik czasu instalacji jest ujawniany przez publiczny endpoint, a pochodny identyfikator hasha jest dostępny przez nieuwierzytelnione odpowiedzi API, co pozwala atakującym na brute-force pozostałej entropii. Odzyskana sól może być użyta do zaszyfrowania złośliwego ładunku dostarczonego do endpointu API powiadomień, który ocenia dane kontrolowane przez atakującego, co prowadzi do wykonania dowolnego kodu jako użytkownik serwera WWW.

Podatność CVE-2025-1928 dotyczy systemu zamówień online firmy Restajet Information Technologies Inc. i polega na niewłaściwym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia wykorzystanie funkcji odzyskiwania hasła.

Weblate to narzędzie do lokalizacji oparte na sieci. W wersjach przed 5.15.1 istniała możliwość zdalnego nadpisania konfiguracji Git oraz zmiany niektórych jego zachowań. Wersja 5.15.1 naprawia ten problem.

Niewłaściwa autoryzacja w Microsoft Partner Center pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień przez sieć.

Niewłaściwa kontrola generowania kodu (wstrzykiwanie kodu) w Azure Container Apps pozwala nieautoryzowanemu atakującemu na wykonanie kodu przez sieć.

Podatność dotycząca podniesienia uprawnień w funkcji niestandardowego odpowiadania na pytania (Custom Question Answering).

Podatność przepełnienia bufora w funkcji sc_device_msg_deserialize() w Genymobile/scrcpy do wersji 3.3.3 włącznie. Zainfekowane urządzenie może wysyłać spreparowane wiadomości powodujące odczyty poza zakresem, co może prowadzić do uszkodzenia pamięci lub odmowy usługi.

Podatność na wstrzyknięcie poleceń systemu operacyjnego w EasyPHP Webserver 14.1. Nieuwierzytelniony atakujący może wykonać dowolne polecenia systemowe, wysyłając spreparowane żądania POST do /index.php?zone=settings z parametrem app_service_control.

W Dify do wersji 1.5.1 w pliku docker-compose.yaml znajdują się domyślne dane uwierzytelniające do bazy PostgreSQL (nazwa użytkownika i hasło). Producent informuje, że od wersji 1.0.1 PostgreSQL nie jest domyślnie wystawiony na TCP porcie 5432.

Podatność CVE-2025-64236 w AmentoTech Tuturn umożliwia obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten dotyczy wersji Tuturn przed 3.6.

Zidentyfikowano słabość w urządzeniu Tenda WH450 w wersji 1.0.0.18, która dotyczy nieznanej funkcji pliku /goform/onSSIDChange w komponencie obsługi żądań HTTP. Manipulacja argumentem ssid_index prowadzi do przepełnienia bufora na stosie.

Krytyczna podatność polegająca na obejściu uwierzytelniania w API platformy Ollama w wersjach do v0.12.3 włącznie. Wiele endpointów API jest dostępnych bez wymaganego uwierzytelnienia, co umożliwia zdalnym atakującym nieautoryzowane operacje zarządzania modelami.

Podatność polegająca na błędnej konfiguracji CORS w Dify v1.9.1 w endpointcie /console/api/system-features. Endpoint odzwierciedla dowolne nagłówki Origin i ustawia Access-Control-Allow-Credentials: true, co pozwala zewnętrznym domenom na uwierzytelnione żądania międzyorigin. Uwaga: dostawca kwestionuje tę podatność, argumentując, że żądania z poświadczeniami nie dają dodatkowego dostępu w porównaniu z żądaniami nieuwierzytelnionymi.

W Dify w wersji 1.9.1 występuje podatność związana z błędną konfiguracją CORS w punkcie końcowym /console/api/setup. Polityka CORS jest niebezpieczna, ponieważ odzwierciedla dowolny nagłówek Origin i umożliwia ustawienie Access-Control-Allow-Credentials: true, co pozwala na autoryzowane żądania z dowolnych zewnętrznych domen.

W urządzeniu Tenda WH450 w wersji 1.0.0.18 odkryto lukę bezpieczeństwa, która dotyczy nieznanej funkcji pliku /goform/wirelessRestart w komponencie obsługi żądań HTTP. Manipulacja argumentem GO prowadzi do przepełnienia bufora na stosie.

Podatność w routerze WODESYS WD-R608U (znanym również jako WDR122B V2.0 i WDR28) polegająca na braku walidacji parametru langGet w endpointcie adm.cgi, co pozwala złośliwemu atakującemu na wykonanie poleceń powłoki systemowej. Producent został powiadomiony, ale nie odpowiedział; przetestowano tylko wersję WDR28081123OV1.01.

W podatności CVE-2025-14860 występuje błąd use-after-free w komponencie API dostępu dla osób z niepełnosprawnościami. Problem ten został naprawiony w wersji Firefox 146.0.1.

Wada w procesie wiązania platformy chmurowej Govee i urządzeń pozwala zdalnemu atakującemu powiązać istniejące, online urządzenie Govee z kontem atakującego, co daje pełną kontrolę nad urządzeniem i usuwa je z konta prawowitego właściciela. Serwerowe API pozwala na skojarzenie urządzenia za pomocą zestawu identyfikatorów, które nie są kryptograficznie powiązane z sekretem pochodzącym z urządzenia. Podatność potwierdzono dla lampy Govee H6056 w wersji firmware 1.08.13, ale może dotyczyć innych urządzeń.

W podatności CVE-2025-66078 występuje niewłaściwa kontrola generowania kodu ('wstrzykiwanie kodu') w wtyczce Hotel Booking Lite, co pozwala na zdalne włączenie kodu. Problem dotyczy wersji Hotel Booking Lite od n/a do 5.2.3 włącznie.