Katalog podatności CVE

Podatność w produkcie Oracle VM VirtualBox (komponent: urządzenie VMSVGA) pozwala na łatwe wykorzystanie przez atakującego z wysokimi uprawnieniami, który ma dostęp do infrastruktury, w której działa Oracle VM VirtualBox. Ataki mogą znacząco wpłynąć na dodatkowe produkty, prowadząc do nieautoryzowanego dostępu do danych.

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) w wersji 7.2.8. Umożliwia łatwe wykorzystanie przez atakującego z wysokimi uprawnieniami, który ma dostęp do infrastruktury, gdzie działa Oracle VM VirtualBox, co może prowadzić do kompromitacji tego oprogramowania.

Podatność w produkcie Oracle VM VirtualBox (komponent: urządzenie VMSVGA) umożliwia atakującemu z wysokimi uprawnieniami, który ma dostęp do infrastruktury, w której działa Oracle VM VirtualBox, kompromitację tego oprogramowania. Ataki mogą znacząco wpłynąć na dodatkowe produkty, prowadząc do nieautoryzowanego dostępu do danych.

Podatność w produkcie Oracle VM VirtualBox (komponent: urządzenie VMSVGA) pozwala na łatwe wykorzystanie przez atakującego z wysokimi uprawnieniami, który ma dostęp do infrastruktury, w której działa Oracle VM VirtualBox. Ataki mogą znacząco wpłynąć na dodatkowe produkty.

W aplikacji Camera występuje możliwe nieautoryzowane uzyskanie dostępu do zdjęć z powodu braku sprawdzenia uprawnień. Może to prowadzić do ujawnienia lokalnych informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W keymint występuje możliwe obejście uprawnień spowodowane błędem logicznym w kodzie. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W funkcji iavb_parse_key_data w pliku avb_rsa.c występuje możliwe odczytanie danych poza przydzielonym zakresem z powodu niewłaściwej walidacji danych wejściowych. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W funkcji PostWipeData w pliku recovery_ui.cpp występuje możliwy problem z trwałością danych po przywróceniu ustawień fabrycznych z powodu błędu logicznego w kodzie. Może to prowadzić do ujawnienia lokalnych informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W RtcpChunk::decodeRtcpChunk występuje możliwe odczytanie danych poza przydzielonym buforem z powodu przepełnienia bufora na stercie. Może to prowadzić do zdalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W RtcpByePacket::decodeByePacket występuje możliwa luka z powodu braku sprawdzenia granic. Może to prowadzić do zdalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W implementacji IGMP dla IPv4 w systemie Zephyr występuje podatność use-after-free. Funkcja igmp_send() odczytuje wskaźnik interfejsu sieciowego z pakietu po jego wysłaniu, co może prowadzić do odczytu zwolnionej pamięci. Problem dotyczy wersji od v2.6.0 do v4.4.0.

OliveTin w wersjach 3000.0.0 i wcześniejszych umożliwia dostęp do predefiniowanych poleceń powłoki z interfejsu webowego. Punkt końcowy ValidateArgumentType RPC nie wykonuje żadnych kontroli uwierzytelniania ani autoryzacji, co pozwala nieautoryzowanym użytkownikom na enumerację identyfikatorów powiązań akcji i ich konfiguracji argumentów.

W urządzeniu Intelbras iNVU 7016 FT 3.004.00IB000.0.T z dnia 2025-09-26 zidentyfikowano lukę, która umożliwia atak typu path traversal poprzez manipulację plikiem /RPC2_Loadfile/syslog/ w interfejsie webowym. Atak można przeprowadzić zdalnie.

Wykryto podatność w systemie zarządzania treścią Intelliants Subrion CMS w wersjach do 4.0.3. Problem dotyczy nieznanej funkcjonalności komponentu Blocks Endpoint, gdzie manipulacja nazwą klasy CSS prowadzi do ataku typu cross-site scripting.

Wtyczka Store Locator dla WordPressa w wersjach przed 1.6.9 nie waliduje parametru przed jego użyciem w ścieżce pliku, co pozwala użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na odczyt dowolnych plików `.php` z serwera.

Wtyczka Store Locator dla WordPressa przed wersją 1.6.9 nie sanitizuje i nie ucieka metadanych logo sklepu przed ich zapisaniem i wyświetleniem na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy możliwość `unfiltered_html` jest zablokowana.

OpenClaw przed wersją 2026.5.6 zawiera lukę w kontroli dostępu w obsłudze zdarzeń Mattermost, która nie weryfikuje metadanych typu kanału. Atakujący mogą obejść zamierzone decyzje polityki DM, wysyłając spreparowane zdarzenia Mattermost, które nie zawierają informacji o typie kanału, co pozwala na przetwarzanie ograniczonej treści.

ApostropheCMS to system zarządzania treścią oparty na Node.js, który w wersjach do 4.30.0 ma lukę związaną z obsługą `prettyUrls`. Gdy ta opcja jest włączona, atakujący może wykorzystać nagłówek `Host` do wysyłania żądań HTTP do dowolnego hosta w sieci prywatnej.

W systemie zarządzania zasobami ludzkimi CodeAstro 1.0 odkryto lukę bezpieczeństwa, która dotyczy nieznanej części pliku /Projects/Add_Projects w komponencie Strona zarządzania projektami. Manipulacja argumentem protitle prowadzi do ataków typu cross site scripting.

Zidentyfikowano podatność w systemie zarządzania zasobami ludzkimi CodeAstro w wersji 1.0. Problem dotyczy nieznanej funkcjonalności pliku /dashboard/add_tod w interfejsie dashboard, gdzie manipulacja argumentem todo_data prowadzi do ataku typu cross-site scripting.