Katalog podatności CVE

Plik /etc/avahi/services/z9.service może zostać zapisany w sposób dowolny, co pozwala na niekontrolowaną modyfikację konfiguracji usługi Avahi. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

Nieprawidłowe działanie interfejsu Web UI podczas ustawiania nieoczekiwanego locale przez API. Problem dotyczy BLU-IC2 i BLU-IC4 do wersji 1.19.5.

Wiele urządzeń BLU-IC2 i BLU-IC4 (do wersji 1.19.5) współdzieli te same sekrety dla usługi SDKSocket (TCP/5000).

Wtyczka Tablesome Table – Contact Form DB dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji set_featured_image_from_external_url() w wersjach do 1.1.32 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Post SMTP – Kompletny rozwiązanie SMTP z logami, alertami, kopią zapasową SMTP i aplikacją mobilną dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji __construct we wszystkich wersjach do i włącznie z 3.6.0. Umożliwia to nieautoryzowanym atakującym odczyt dowolnych zarejestrowanych e-maili, w tym e-maili z linkami do resetowania haseł.

Nieprawidłowa kontrola dostępu w punkcie końcowym realtime.cgi urządzeń Deep Sea Electronics DSE855 w wersjach od 1.1.0 do 1.1.26 umożliwia atakującym uzyskanie dostępu do panelu administracyjnego oraz pełnej kontroli nad urządzeniem.

Brakujące nagłówki bezpieczeństwa. Problem dotyczy BLU-IC2 i BLU-IC4 do wersji 1.19.5.

Urządzenia BLU-IC2 i BLU-IC4 do wersji 1.19.5 mają wyłączoną weryfikację certyfikatu serwera poczty e-mail. Może to umożliwić atakującemu podszycie się pod serwer poczty.

Urządzenia BLU-IC2 i BLU-IC4 stosują niewystarczającą politykę haseł. Problem dotyczy wersji do 1.19.5 włącznie.

Biblioteka Kitware VTK w wersji do 9.5.0 zawiera podatność typu heap use-after-free w module vtkGLTFDocumentLoader. Podatność ujawnia się podczas kopiowania obiektów siatki, gdy elementy wektora są dostępne po zwolnieniu pamięci, szczególnie przy przetwarzaniu plików GLTF z uszkodzoną lub nieprawidłową strukturą referencji siatki.

W podatności CVE-2025-6520 w technologii Abis BAPSIS występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na przeprowadzenie ataku typu Blind SQL Injection. Problem dotyczy wersji BAPSIS przed 202510271606.

Wtyczka King Addons for Elementor dla WordPressa jest podatna na eskalację uprawnień w wersjach od 24.12.92 do 51.1.14. Problem wynika z niewłaściwego ograniczenia ról, które użytkownicy mogą rejestrować.

Motyw Noo JobMonster dla WordPressa jest podatny na obejście uwierzytelnienia we wszystkich wersjach do i włącznie z 4.8.1. Problem wynika z funkcji check_login(), która nieprawidłowo weryfikuje tożsamość użytkownika przed jego uwierzytelnieniem.

W aplikacji UniFi Access występuje błędna konfiguracja, która ujawnia API zarządzania bez odpowiedniego uwierzytelnienia. Podatność wprowadzono w wersji 3.3.22 i naprawiono w wersji 4.0.21 i późniejszych.

Podatność w usłudze Mount w Veeam Backup & Replication umożliwia zdalne wykonanie kodu (RCE) na hostach infrastruktury kopii zapasowych przez uwierzytelnionego użytkownika domeny.

Nagios Log Server przed wersją 2024R1.3.1 zawiera podatność na wstrzykiwanie kodu, gdzie nieprawidłowe wartości identyfikatora dashboardu nie są poprawnie walidowane przed przekazaniem do wewnętrznego API. Atakujący, który może dostarczyć spreparowane wartości ID dashboardu, może spowodować wykonanie danych kontrolowanych przez atakującego, prowadząc do arbitralnego wykonania kodu w kontekście procesu Log Server.

Nagios Log Server przed wersją 2024R2.0.3 zawiera podatność na wykonanie z niepotrzebnymi przywilejami, ponieważ uruchamia wbudowany proces Logstash jako użytkownik root. Jeśli atakujący jest w stanie skompromitować proces Logstash, na przykład poprzez wykorzystanie niebezpiecznej wtyczki, wstrzyknięcie konfiguracji potoku lub podatność w parsowaniu wejścia, może wykonać kod z uprawnieniami roota, co prowadzi do pełnego przejęcia systemu. Usługa Logstash została zmieniona, aby działała jako użytkownik o niższych uprawnieniach 'nagios'.

Podatność w Nagios Log Server przed wersją 2024R2.0.2 dotyczy menedżera klastra, który żąda wrażliwych poświadczeń od węzłów równorzędnych przez nieszyfrowany kanał, nawet gdy SSL/TLS jest włączony. Atakujący w sieci może przechwycić poświadczenia w transmisji.

Nagios XI przed wersją 2024R1.2 jest podatny na zdalne wykonanie kodu (RCE) przez wtyczki serwera NRDP. Niewystarczająca walidacja parametrów żądań NRDP pozwala na przekazanie spreparowanych danych do ścieżek wykonania komend, co umożliwia atakującemu wykonanie dowolnych komend na hoście w kontekście usługi web/Nagios.

Nagios XI przed wersją 2024R1.1.3, w pewnych okolicznościach, ujawnia token uwierzytelniania Active Directory (AD) lub LDAP serwera uwierzytelnionemu użytkownikowi. Ujawnienie tokena AD/LDAP może umożliwić niewłaściwe użycie uwierzytelniania w całej domenie, eskalację uprawnień lub dalszą kompromitację systemów zintegrowanych z siecią.