CVE Vulnerability Catalog

W podatności CVE-2025-69342 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Calafate od n/a do 1.7.7.

W podatności CVE-2025-69086 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie jwsthemes Issabella w wersjach od n/a do 1.1.2.

W podatności CVE-2025-69085 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w e-plugins JobBank. Problem ten dotyczy wersji JobBank od n/a do 1.2.2 włącznie.

Podatność CVE-2025-69084 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce gt3-photo-video-gallery. Problem ten dotyczy wersji od n/a do 2.7.7.26 włącznie.

W podatności CVE-2025-69083 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Elated-Themes Frappé w wersjach od n/a do 1.8. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Podatność na deserializację niezaufanych danych w DZS Video Gallery umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji DZS Video Gallery od n/a do 12.25.

Dell Unisphere for PowerMax, versions 9.2.4.x, contains an Improper Restriction of XML External Entity Reference vulnerability. A low privileged attacker with remote access could exploit this, leading to unauthorized access to data and resources outside the intended control sphere.

W podatności CVE-2024-30547 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce Shazdeh Header Image Slider, co prowadzi do ataków typu XSS (Cross-site Scripting). Problem ten dotyczy wersji wtyczki od n/a do 0.3.

A vulnerability has been identified in Tenda AC23 firmware version 16.03.07.52, affecting the sscanf function in the /goform/PowerSaveSet file. Manipulation of the Time argument can lead to a buffer overflow. The attack can be launched remotely, and the exploit is publicly available.

DwyerOmega Isensix Advanced Remote Monitoring System (ARMS) version 1.5.7 is vulnerable to blind SQL injection through the user parameter on the login page, allowing an attacker to retrieve sensitive information from the underlying SQL database. This can lead to credential theft, including cleartext passwords of users and admins, which can then be used to authenticate to the application.

AirVPN Eddie na MacOS zawiera niebezpieczną usługę XPC, która pozwala lokalnym, nieuprzywilejowanym użytkownikom na eskalację swoich uprawnień do poziomu roota. Problem dotyczy wersji Eddie: 2.24.6.

The vulnerability in Sony BRAVIA Digital Signage 1.7.8 allows unauthenticated attackers to access sensitive system information through exposed API endpoints. Attackers can retrieve network interface details, server configurations, and system metadata.

System RED-V Super Digital Signage w wersji 5.1.1 zawiera podatność na ujawnienie informacji, która pozwala nieautoryzowanym atakującym na dostęp do wrażliwych plików dziennika serwera WWW. Atakujący mogą odwiedzać różne punkty końcowe, aby uzyskać dostęp do zasobów systemowych i informacji z dzienników debugowania bez konieczności uwierzytelnienia.

System cyfrowego oznakowania iDS6 DSSPro w wersji 6.2 zawiera lukę w kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na podniesienie uprawnień za pomocą funkcji JavaScript w konsoli. Atakujący mogą tworzyć użytkowników, modyfikować role i uprawnienia, a w konsekwencji przejąć pełną kontrolę nad aplikacją.

System cyfrowego oznakowania iDS6 DSSPro w wersji 6.2 zawiera podatność na ujawnienie wrażliwych informacji, która umożliwia zdalnym atakującym przechwycenie danych uwierzytelniających poprzez transmisję ciasteczek w postaci niezaszyfrowanej. Funkcja autoSave może być wykorzystana do przechwytywania haseł użytkowników podczas ataków typu man-in-the-middle na komunikację HTTP.

TDM Digital Signage PC Player w wersji 4.1.0.4 zawiera podatność na podniesienie uprawnień, która pozwala uwierzytelnionym użytkownikom na modyfikację plików wykonywalnych. Atakujący mogą wykorzystać uprawnienia 'Modyfikuj' dla uwierzytelnionych użytkowników, aby zastąpić pliki wykonywalne złośliwymi binariami i uzyskać podwyższone uprawnienia systemowe.

Adtec Digital SignEdje Digital Signage Player w wersji 2.08.28 zawiera wiele twardo zakodowanych domyślnych poświadczeń, które umożliwiają nieautoryzowany zdalny dostęp do interfejsów webowych, telnet i SSH. Atakujący mogą wykorzystać te poświadczenia do uzyskania dostępu na poziomie roota i wykonywania poleceń systemowych w różnych wersjach produktów Adtec Digital.

QiHang Media Web Digital Signage w wersji 3.0.9 zawiera podatność na ujawnienie wrażliwych informacji, która pozwala zdalnym atakującym na przechwycenie danych uwierzytelniających użytkowników poprzez przesyłanie ciasteczek w postaci niezaszyfrowanej. Atakujący mogą przeprowadzać ataki typu man-in-the-middle, aby przechwycić i potencjalnie nadużyć zapisanych danych uwierzytelniających.

Cayin Signage Media Player 3.0 zawiera podatność na zdalne wstrzykiwanie poleceń z autoryzacją w stronach system.cgi i wizard_system.cgi. Atakujący mogą wykorzystać parametr 'NTP_Server_IP' przy użyciu domyślnych danych logowania do wykonywania dowolnych poleceń powłoki jako root.

Aerohive HiveOS zawiera podatność na odmowę usługi w interfejsie NetConfig UI, która pozwala nieautoryzowanym atakującym na unieruchomienie interfejsu webowego. Atakujący mogą wysłać spreparowane żądanie HTTP do skryptu action.php5 z określonymi parametrami, co prowadzi do 5-minutowej przerwy w działaniu usługi.