Katalog podatności CVE

Nowy serwer witryny opracowany przez CyberTutor ma podatność na wykorzystanie uwierzytelniania po stronie klienta, co pozwala nieautoryzowanym atakującym zdalnie modyfikować kod frontendowy i uzyskać uprawnienia administratora na stronie internetowej.

EIP Plus opracowany przez Hundred Plus ma podatność na słaby mechanizm odzyskiwania hasła, co pozwala nieautoryzowanemu zdalnemu atakującemu przewidzieć lub przeprowadzić atak brute-force na link 'zapomniałem hasła', co umożliwia skuteczne zresetowanie hasła dowolnego użytkownika.

W Samba, w obsłudze hooka WINS, nazwy NetBIOS z pakietów rejestracji są przekazywane do powłoki bez odpowiedniej walidacji lub escapowania. Nieoczyszczone dane nazw NetBIOS z pakietów rejestracji WINS są wstawiane do polecenia powłoki i wykonywane przez hook WINS kontrolera domeny Samba Active Directory, co pozwala nieuwierzytelnionemu atakującemu sieciowemu na zdalne wykonanie kodu jako proces Samba.

Podatność na niewłaściwe uwierzytelnianie w GE Vernova Smallworld na Windows i Linux pozwala na nadużycie uwierzytelniania. Problem dotyczy Smallworld w wersji 5.3.3 i wcześniejszych dla Linux oraz 5.3.4 i wcześniejszych dla Windows.

W pig-mesh In Pig w wersji 3.8.2 i starszych, w funkcji zarządzania tokenami modułu System Management, interfejs zapytań o tokeny (/api/admin/sys-token/page) ma niewłaściwą weryfikację uprawnień, co prowadzi do wycieku informacji. Interfejs może być wywołany przez dowolnego zalogowanego użytkownika i zwraca jawne tokeny uwierzytelniające wszystkich aktualnie zalogowanych użytkowników, w tym administratora.

W pig-mesh Pig w wersjach 3.8.2 i starszych, podczas konfiguracji zadań zaplanowanych w module Quartz, możliwe jest wykonanie dowolnej klasy Java z konstruktorem bezparametrowym i jej metod z parametrem typu String poprzez refleksję. Wykorzystując metodę eval w klasie jakarta.el.ELProcessor wbudowanej w Tomcat, można wykonać polecenia, co prowadzi do zdalnego wykonania kodu.

W systemie ycf1998 money-pos przed commit 11f276bd20a41f089298d804e43cb1c39d041e59 (2025-09-14) występuje wiele podatności typu SQL injection, które umożliwiają zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr orderby.

W QuMagie zgłoszono podatność na wstrzykiwanie SQL. Zdalny atakujący może wykorzystać tę podatność do wykonania nieautoryzowanego kodu lub poleceń. Podatność została naprawiona w wersji QuMagie 2.7.0 i nowszych.

Monsta FTP w wersjach 2.11 i wcześniejszych zawiera podatność umożliwiającą nieuwierzytelnione przesyłanie dowolnych plików. Błąd pozwala atakującemu na wykonanie dowolnego kodu poprzez przesłanie specjalnie spreparowanego pliku z złośliwego serwera (S)FTP.

W DIAL CentrosNet v2.64 występuje podatność SQL injection. Atakujący może wysyłać żądania POST i GET z parametrem 'ultralogin' w '/centrosnet/ultralogin.php', aby uzyskać, tworzyć, aktualizować i usuwać bazy danych.

ClipBucket v5 w wersjach 5.5.2 - #156 i niższych pozwala uwierzytelnionemu zwykłemu użytkownikowi na utworzenie kolekcji zdjęć, której nazwa zawiera ładunki HTML/JavaScript, co czyni funkcję Manage Photos podatną na trwały XSS. Ładunek jest renderowany w interfejsie Admin → Manage Photos, co powoduje jego wykonanie w przeglądarce administratora, umożliwiając atakującemu działanie z podniesionymi uprawnieniami.

Wtyczka Gravity Forms dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji copy_post_image() we wszystkich wersjach do i włącznie z 2.9.20. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W oprogramowaniu księgowym Manager-io/Manager w wersjach Desktop i Server 25.11.1.3085 i poniżej występuje krytyczna podatność, która umożliwia nieautoryzowany dostęp do zasobów wewnętrznej sieci. Problem wynika z wadliwej konstrukcji mechanizmu walidacji DNS.

CLUSTERPRO X i EXPRESSCLUSTER X dla Linuksa w wersjach 4.0–5.2 oraz ich warianty SingleServerSafe pozwalają nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego poprzez wysłanie specjalnie spreparowanych pakietów sieciowych.

Podatność CVE-2025-12488 dotyczy oprogramowania oobabooga text-generation-webui, które pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z braku odpowiedniej walidacji parametru trust_remote_code przed jego użyciem do ładowania modelu.

Podatność CVE-2025-12487 dotyczy oprogramowania oobabooga text-generation-webui, które pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z braku odpowiedniej walidacji parametru trust_remote_code przed jego użyciem do załadowania modelu.

Podatność SQL injection w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'uid' w funkcji eksportu. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.

W AnyDesk dla Windows przed 9.0.5, macOS przed 9.0.1, Linux przed 7.0.0, iOS przed 7.1.2 i Android przed 8.0.0 występuje przepełnienie liczb całkowitych prowadzące do przepełnienia bufora na stercie poprzez pakiet UDP podczas przetwarzania obrazu użytkownika Identity w funkcji Discovery lub podczas nawiązywania połączenia między dwoma klientami.

Podatność CVE-2025-6327 w King Addons dla Elementor umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji od n/a do 51.1.36.