CVE Vulnerability Catalog

Wtyczka DASHBOARD BUILDER – WordPress plugin dla wykresów i diagramów jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 1.5.7. Brak walidacji nonce w handlerze ustawień umożliwia nieautoryzowanym atakującym modyfikację przechowywanego zapytania SQL oraz danych uwierzytelniających bazy danych.

Wtyczka GetContentFromURL dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do 1.0 włącznie. Problem wynika z użycia funkcji wp_remote_get() zamiast wp_safe_remote_get() do pobierania treści z URL dostarczonego przez użytkownika.

Double free vulnerability in the multi-mode input module. Successful exploitation may affect the input function.

CVE-2025-68960 is a multi-thread race condition vulnerability in the video framework module. Successful exploitation may affect system availability.

Multi-thread race condition vulnerability in the card framework module. Successful exploitation may affect availability.

Multi-thread race condition vulnerability in the card framework module. Successful exploitation may affect availability.

Multi-thread race condition vulnerability in the card framework module. Successful exploitation may affect availability.

Multi-thread race condition vulnerability in the card framework module. Successful exploitation may affect availability.

Sterowniki w pakietach narzędzi wykorzystują flagę RTL_QUERY_REGISTRY_DIRECT do odczytu wartości rejestru, co może prowadzić do przepełnienia bufora przez niezaufaną aplikację działającą w trybie użytkownika.

Sterowniki w pakietach narzędzi wykorzystują flagę RTL_QUERY_REGISTRY_DIRECT do odczytu wartości rejestru, co może prowadzić do przepełnienia bufora przez nieufną aplikację działającą w trybie użytkownika.

Sterowniki w pakietach narzędzi wykorzystują flagę RTL_QUERY_REGISTRY_DIRECT do odczytu wartości rejestru, co może prowadzić do przepełnienia bufora przez niezaufaną aplikację działającą w trybie użytkownika.

Sterowniki w pakietach narzędzi wykorzystują flagę RTL_QUERY_REGISTRY_DIRECT do odczytu wartości rejestru, co może prowadzić do przepełnienia bufora przez nieufną aplikację działającą w trybie użytkownika.

WorkOrder CMS w wersji 0.1.0 zawiera podatność na wstrzykiwanie SQL, która umożliwia nieautoryzowanym atakującym ominięcie logowania poprzez manipulację parametrami nazwy użytkownika i hasła. Atakujący mogą wstrzykiwać złośliwe zapytania SQL, aby uzyskać dostęp do informacji w bazie danych lub wykonywać polecenia administracyjne.

Tftpd32 SE w wersji 4.60 zawiera podatność na niecytowaną ścieżkę usługi, która umożliwia lokalnym atakującym potencjalne wykonanie dowolnego kodu z podwyższonymi uprawnieniami. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia złośliwych plików wykonywalnych, które będą uruchamiane z uprawnieniami systemowymi.

Mediconta w wersji 3.7.27 zawiera podatność na niecytowaną ścieżkę usługi w servermedicontservice, co pozwala lokalnym użytkownikom na potencjalne wykonanie kodu z podwyższonymi uprawnieniami. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia złośliwego kodu, który zostanie uruchomiony z uprawnieniami LocalSystem podczas uruchamiania usługi.

Wtyczka Social-Share-Buttons w wersji 2.2.3 zawiera krytyczną podatność na wstrzykiwanie SQL w parametrze project_id, co pozwala atakującym na manipulację zapytaniami do bazy danych. Wykorzystując tę podatność, atakujący mogą wysyłać spreparowane żądania POST z złośliwymi ładunkami SQL, aby uzyskać dostęp do zawartości całej bazy danych.

Outline 1.6.0 zawiera podatność na niecytowaną ścieżkę usługi, która pozwala lokalnym atakującym na potencjalne wykonanie dowolnego kodu z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać tę podatność w pliku wykonywalnym OutlineService do wstrzyknięcia złośliwego kodu, który zostanie uruchomiony z uprawnieniami LocalSystem.

Cveo HotKey Clipboard w wersji 2.1.0.6 zawiera podatność na niecytowaną ścieżkę usługi w serwisie HKClipSvc, co pozwala lokalnym użytkownikom bez uprawnień na potencjalne wykonanie kodu z uprawnieniami systemowymi. Atakujący mogą wykorzystać błędnie skonfigurowaną ścieżkę usługi do wstrzykiwania i wykonywania dowolnego kodu.

Critical vulnerability in e107 CMS version 3.2.1 allows authenticated administrators to overwrite arbitrary server files via path traversal in the Media Manager's remote URL upload functionality (image.php). The upload_caption parameter is not properly sanitized, enabling directory traversal sequences like ../../../ to overwrite files outside the intended directory. This can lead to complete compromise of the web application.

CONTPAQi AdminPAQ w wersji 14.0.0 zawiera podatność na niecytowaną ścieżkę usługi w serwisie AppKeyLicenseServer, który działa z uprawnieniami LocalSystem. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia złośliwego kodu w ścieżkę binarną usługi, co może prowadzić do wykonania dowolnego kodu z podwyższonymi uprawnieniami systemowymi podczas uruchamiania usługi.