Katalog podatności CVE

Podatność SQL Injection w TDuckCloud w wersji 5.1 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez moduł dodawania plików.

Serwer Ilevia EVE X1/X5 w wersji ≤ 4.7.18.0.eden zawiera podatność w mechanizmie uwierzytelniania. Nieprzetworzone dane wejściowe są przekazywane do wywołania system(), co pozwala atakującym na wstrzykiwanie specjalnych znaków i manipulowanie analizą poleceń.

W aplikacji Tuya Smart Life w wersji 5.6.1 wykryto podatność, która umożliwia atakującym nieautoryzowane sterowanie urządzeniami Matter za pomocą protokołu Matter. Problem wynika z braku odpowiednich zabezpieczeń dostępu do funkcji sterowania.

W bibliotece Jaspersoft odkryto podatność na deserializację w Javie. Niewłaściwe przetwarzanie danych dostarczonych z zewnątrz może umożliwić atakującym zdalne wykonanie dowolnego kodu na systemach korzystających z tej biblioteki.

W jądrze Linuxa wykryto wyścig między funkcją login_work a wątkiem logowania w podsystemie iSCSI target. Złośliwy inicjator może wysłać dane po PDU logowania, co powoduje, że login_work nie kończy działania i po zerwaniu połączenia dochodzi do dereferencji zwolnionej struktury, prowadzącej do awarii jądra.

Serwer Spring Cloud Gateway Webflux może być podatny na modyfikację właściwości środowiska Spring. Aplikacja jest uznawana za podatną, gdy spełnione są określone warunki dotyczące użycia Spring Boot actuator oraz dostępności nie zabezpieczonych punktów końcowych.

Podatność CVE-2024-13149 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w Arma Store Armalife. Problem ten dotyczy wersji Armalife do 20250916.

Talkative IRC w wersji 0.4.4.16 jest podatny na przepełnienie bufora na stosie podczas przetwarzania specjalnie spreparowanych ciągów odpowiedzi wysyłanych do podłączonego klienta. Atakujący może wykorzystać tę lukę, wysyłając zbyt długą wiadomość, co może prowadzić do wykonania dowolnego kodu w kontekście procesu.

osCommerce w wersjach do 2.2 RC2a włącznie zawiera podatność w narzędziu administracyjnym do zarządzania plikami (admin/file_manager.php). Interfejs pozwala na przesyłanie i edycję plików bez wystarczającej walidacji danych wejściowych i kontroli dostępu, co umożliwia nieuwierzytelnionemu atakującemu przesłanie pliku .php z dowolnym kodem i jego wykonanie.

W endpointcie UtilConfigHome.csp systemu InterSystems Caché 2009.1 występuje przepełnienie bufora na stosie. Podatność jest wyzwalana przez wysłanie spreparowanego żądania HTTP GET z nadmiernie długim argumentem do handlera .csp, co pozwala na wykonanie dowolnego kodu.

W systemie Online Library Management System w wersji 3.0 wykryto podatność umożliwiającą eskalację uprawnień poprzez komponent adminlogin.php i funkcję logowania. Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do konta administratora.

W podatności CVE-2025-7744 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Dolusoft Omaspot. Problem ten dotyczy wersji Omaspot przed 12.09.2025.

Podatność w Dolusoft Omaspot związana z przesyłaniem wrażliwych informacji w postaci niezaszyfrowanej umożliwia przechwytywanie danych oraz eskalację uprawnień. Problem dotyczy wersji Omaspot przed 12.09.2025.

Podatność CVE-2025-4688 dotyczy modułu wyników egzaminów SINAV.LINK, który jest podatny na atak typu SQL Injection z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten występuje w wersjach przed 1.2.

Problem dotyczy możliwości monitorowania naciśnięć klawiszy przez aplikację bez zgody użytkownika. Został on rozwiązany poprzez wprowadzenie ulepszonych kontroli w systemach iOS 18.7, iPadOS 18.7, iOS 26 oraz iPadOS 26.

Zidentyfikowano problem logiczny związany z zarządzaniem stanem, który został naprawiony w systemach iOS 18.7, iPadOS 18.7, macOS Sequoia 15.7, macOS Sonoma 14.8 oraz innych. Problem dotyczy serwera UDP, który może być powiązany z wszystkimi interfejsami zamiast tylko z lokalnym.

Problem ten został rozwiązany poprzez usunięcie podatnego kodu. Został naprawiony w iOS 26, iPadOS 26, macOS Tahoe 26, tvOS 26, visionOS 26 oraz watchOS 26.

Problem dotyczy nieprawidłowego zarządzania pamięcią, co może prowadzić do awarii procesu podczas przetwarzania złośliwie przygotowanej zawartości internetowej. Został naprawiony w Safari 26 oraz systemach iOS, iPadOS, macOS Tahoe, tvOS, visionOS i watchOS w wersji 26.

W Safari oraz systemach iOS, iPadOS, macOS, tvOS, visionOS i watchOS zidentyfikowano problem z poprawnością, który został rozwiązany poprzez wprowadzenie ulepszonych kontroli. Wykorzystanie złośliwie przygotowanej treści internetowej może prowadzić do nieoczekiwanego awarii procesu.

Problem z autoryzacją został rozwiązany poprzez poprawę zarządzania stanem. Problem ten został naprawiony w iOS 26, iPadOS 26, macOS Sequoia 15.7, macOS Sonoma 14.8, macOS Tahoe 26, tvOS 26 oraz watchOS 26.