Katalog podatności CVE

Instancje Rob--W cors-anywhere skonfigurowane jako otwarte proxy pozwalają nieuwierzytelnionym zewnętrznym użytkownikom na wywołanie przez serwer żądań HTTP do dowolnych celów (SSRF). Ponieważ proxy przekazuje żądania i nagłówki, atakujący może dotrzeć do wewnętrznych punktów końcowych i usług metadanych, pobrać poświadczenia ról instancji oraz wchodzić w interakcje z wewnętrznymi API.

Serwer ADB MCP Server w wersjach 0.1.0 i wcześniejszych jest podatny na ataki polegające na wstrzyknięciu komend w ramach definicji i implementacji niektórych narzędzi MCP. Luka została naprawiona w commicie 041729c.

Ericsson Indoor Connect 8855 zawiera podatność na wstrzykiwanie SQL, która po wykorzystaniu może skutkować nieautoryzowanym ujawnieniem lub modyfikacją danych.

Do pakietu Nx (systemu budowania) oraz kilku powiązanych wtyczek wprowadzono złośliwy kod. Zmodyfikowany pakiet został opublikowany w rejestrze oprogramowania npm w wyniku ataku na łańcuch dostaw.

W V8 w Google Chrome przed wersją 140.0.7339.207 występuje wyciek informacji kanałem bocznym, który pozwala zdalnemu atakującemu na wyciek danych z innych domen poprzez spreparowaną stronę HTML.

Wtyczka MultiLoca - WooCommerce Multi Locations Inventory Management dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w funkcji 'wcmlim_settings_ajax_handler' we wszystkich wersjach do 4.2.8 włącznie.

Baza danych aplikacji webowej jest wystawiona bez uwierzytelnienia, co pozwala nieautoryzowanemu zdalnemu atakującemu uzyskać dostęp i potencjalnie ją skompromitować.

Moduł Prompt w DNN (DotNetNuke) przed wersją 10.1.0 umożliwia wykonanie poleceń, które mogą zwracać surowy HTML. Złośliwe dane wejściowe, nawet jeśli są sanityzowane do wyświetlania, mogą zostać wykonane podczas przetwarzania przez niektóre polecenia, prowadząc do potencjalnego wykonania skryptów (XSS). Problem naprawiono w wersji 10.1.0.

Podatność niezaufanego dereferencjonowania wskaźnika w bibliotekach Core produktu RTI Connext Professional umożliwia manipulację wskaźnikami. Problem dotyczy wersji od 7.4.0 przed 7.6.0, od 7.0.0 przed 7.3.0.10, od 6.1.0 przed 6.1.2.27, od 6.0.0 przed 6.0.1.43, od 5.3.0 przed 5.3.*, od 5.2.0 przed 5.2.* oraz od 4.4a przed 5.1.*.

Podatność niezaufanego dereferencjonowania wskaźnika w bibliotekach Core produktu RTI Connext Professional umożliwia manipulację wskaźnikami. Problem dotyczy wersji od 7.4.0 przed 7.6.0 oraz od 7.2.0 przed 7.3.0.9.

Podatność CVE-2025-9846 dotyczy systemu Inka.Net, który przed wersją 6.7.1 pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co może prowadzić do wstrzyknięcia poleceń.

Podatność przepełnienia bufora w Novakon P series pozwala atakującemu uzyskać uprawnienia root bez wcześniejszego uwierzytelnienia. Problem dotyczy wersji P – V2001.A.C518o2 do P-2.0.05 Build 2026.02.06 (commit d0f97fd9).

Wtyczka Product Options and Price Calculation Formulas for WooCommerce – Uni CPO (Premium) dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej walidacji typów plików w funkcji 'uni_cpo_upload_file' w wersjach do 4.9.55 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'move_as_original_file' we wszystkich wersjach do 4.2.6 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej witryny.

W podatności CVE-2025-9588 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń w usłudze archiwizacji EnVision firmy Iron Mountain. Problem ten dotyczy wersji EnVision przed 250563.

W jądrze Linux w bibliotece libceph wykryto błąd nieprawidłowego dostępu do unii ceph_connection_v1_info. Kod ogólny w messenger.c odczytuje i zapisuje do członka v1 unii bez sprawdzania, czy jest on aktywny (czy używany jest msgr1). Może to prowadzić do odczytu nieprawidłowych wartości lub zapisu do nakładających się pól.

Wtyczka WPCasa dla WordPressa jest podatna na wstrzykiwanie kodu we wszystkich wersjach do i włącznie z 1.4.1. Problem wynika z niewystarczającej walidacji danych wejściowych oraz ograniczeń w funkcji 'api_requests'.

Flowise w wersji 3.0.5 zawiera podatność na zdalne wykonanie kodu (RCE). Węzeł CustomMCP przekazuje dane wejściowe użytkownika bezpośrednio do konstruktora Function(), co pozwala na wykonanie dowolnego kodu JavaScript z uprawnieniami Node.js. Podatność została naprawiona w wersji 3.0.6.