Katalog podatności CVE

Podatność na dowolne przesyłanie plików w SigningHub v8.6.8 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku PDF.

Podatność SSRF w funkcji Image Upload Gallery dashboardu ThingsBoard przed wersją 4.2.1 umożliwia atakującemu wgranie złośliwego pliku SVG odwołującego się do zdalnego URL. Przetworzenie pliku przez serwer może prowadzić do niechcianych żądań wychodzących.

W wersjach Squid przed 7.2 występuje błąd polegający na nieusuwaniu danych uwierzytelniania HTTP z komunikatów obsługi błędów, co prowadzi do ujawnienia informacji. Skrypt może ominąć zabezpieczenia przeglądarki i poznać dane uwierzytelniające zaufanego klienta, co może pozwolić zdalnemu klientowi na identyfikację tokenów bezpieczeństwa lub danych uwierzytelniających używanych wewnętrznie przez aplikację webową korzystającą z Squid do równoważenia obciążenia. Luka nie wymaga skonfigurowania uwierzytelniania HTTP w Squid i została naprawiona w wersji 7.2.

W aplikacjach hosta Zigbee EZSP występuje podatność przepełnienia bufora z powodu niewłaściwej walidacji danych wejściowych. Może to prowadzić do uszkodzenia stosu, a w pewnych warunkach do wykonania dowolnego kodu. Do wykorzystania wymagany jest dostęp do klucza sieciowego.

Wszystkie wersje IDE Windsurf zawierają podatność typu przejście ścieżki, która umożliwia atakującemu odczyt i zapis dowolnych lokalnych plików w obrębie oraz poza aktualnymi projektami na systemie użytkownika końcowego. Do podatności można uzyskać dostęp bezpośrednio oraz poprzez pośrednie wstrzykiwanie poleceń.

W podatności CVE-2025-60279 w Illia Cloud illia-Builder przed wersją 4.8.5 występuje luka typu server-side request forgery (SSRF), która pozwala uwierzytelnionym użytkownikom na wysyłanie dowolnych żądań do wewnętrznych usług za pośrednictwem API. Atakujący może wykorzystać tę lukę do enumeracji otwartych portów na podstawie różnic w odpowiedziach oraz interakcji z wewnętrznymi usługami.

W systemie PluXml CMS w edytorze motywów wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE). Problem dotyczy pliku minify.php w domyślnym katalogu motywu, który może zostać nadpisany przez uwierzytelnionego administratora dowolnym kodem PHP.

W wersjach frameworka Keras od 3.11.0 do 3.11.2 może wystąpić deserializacja nieufnych danych, co pozwala na uruchomienie dowolnego kodu na systemie końcowego użytkownika. Złośliwie przesłany plik Keras zawierający klasę TorchModuleWrapper może zostać załadowany mimo włączonego trybu bezpiecznego.

Niektóre wersje produktu iSecure Center firmy Hikvision zawierają niewystarczającą walidację parametrów, co prowadzi do podatności na wstrzykiwanie poleceń. Atakujący mogą wykorzystać tę lukę, aby uzyskać uprawnienia platformy i wykonywać dowolne polecenia w systemie.

Niektóre wersje produktu iSecure Center firmy Hikvision mają lukę związaną z niewłaściwą kontrolą przesyłania plików. Z powodu niewłaściwej weryfikacji plików do przesłania, atakujący mogą przesyłać złośliwe pliki na serwer.

W USBX przed wersją 6.4.3, module wsparcia USB dla Eclipse Foundation ThreadX, istnieje potencjalna podatność na odczyt poza zakresem w funkcji _ux_host_class_audio10_sam_parse_func() podczas analizowania listy częstotliwości próbkowania.

Wersje pakietu mammoth od 0.3.25 do przed 1.11.0 są podatne na atak typu Directory Traversal z powodu braku walidacji ścieżek lub typów plików podczas przetwarzania pliku docx zawierającego obraz z zewnętrznym linkiem. Atakujący może odczytać dowolne pliki na systemie, w którym odbywa się konwersja, lub spowodować nadmierne zużycie zasobów.

W urządzeniach Moxa wykryto użycie zaszytych na stałe poświadczeń — system używa stałego klucza do podpisywania tokenów JWT. Nieuwierzytelniony atakujący może sfałszować ważne tokeny, ominąć uwierzytelnianie i podszyć się pod dowolnego użytkownika.

W urządzeniach sieciowych Moxa występuje luka autoryzacji w API, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na utworzenie nowego konta administratora, w tym o nazwie istniejącego użytkownika. Może to prowadzić do pełnej kontroli administracyjnej nad urządzeniem i podszycia się pod konto.

iSherlock opracowany przez HGiga zawiera podatność na wstrzykiwanie poleceń systemowych, która umożliwia nieautoryzowanym zdalnym atakującym wstrzykiwanie dowolnych poleceń systemowych i ich wykonywanie na serwerze.

W urządzeniach Moxa wykryto błąd kontroli dostępu w punkcie końcowym /api/v1/setting/data. Użytkownik z niskimi uprawnieniami może wywołać API bez wymaganych uprawnień i uzyskać dostęp lub modyfikować dane konfiguracyjne systemu.

W agencie ConnectWise Automate komunikacja mogła być skonfigurowana do używania HTTP zamiast HTTPS. W takim przypadku atakujący z pozycją man-in-the-middle mógł przechwytywać, modyfikować lub odtwarzać ruch między agentem a serwerem. Poprawka w wersji Automate 2025.9 wymusza HTTPS dla całej komunikacji agenta.

OPEXUS FOIAXpress pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zresetowanie hasła administratora. Podatność została naprawiona w wersji 11.13.2.0.

Moduł PrestaShop Checkout w wersjach od 1.3.0 do przed 4.4.1 i 5.0.5 ma brak walidacji w funkcji Express Checkout, co umożliwia ciche logowanie i przejęcie konta poprzez adres e-mail. Luka została naprawiona w wersjach 4.4.1 i 5.0.5. Nie istnieją znane obejścia.

Oprogramowanie sprzętowe Ilevia EVE X1 Server (wersje ≤ 4.7.18.0.eden) zawiera podatność na użycie domyślnych poświadczeń, co pozwala nieuwierzytelnionemu atakującemu na uzyskanie zdalnego dostępu. Producent odmówił naprawy i zaleca nie wystawianie portu 8080 do internetu.