CVE Vulnerability Catalog

W podatności CVE-2025-68850 występuje brak autoryzacji w wtyczce Sell Downloads, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Sell Downloads od n/a do 1.1.12 włącznie.

Wtyczka Follow My Blog Post w wersjach od n/a do 2.4.0 ma lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten może prowadzić do nieautoryzowanego dostępu do zasobów.

Podatność CVE-2025-68044 dotyczy błędu w systemie rezerwacji restauracji Rustaurius Five Star, który pozwala na ominięcie kontroli dostępu przez użytkowników. Problem ten występuje w wersjach od n/a do 2.7.4 w systemie Five Star Restaurant Reservations.

Podatność CVE-2025-68033 dotyczy wtyczki Brecht Custom Related Posts, która umożliwia wstrzykiwanie wrażliwych informacji do wysyłanych danych. Problem ten występuje w wersjach od n/a do 1.8.0 włącznie.

Podatność na deserializację niezaufanych danych w Themify Edmin umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Themify Edmin od n/a do 2.0.0.

W podatności CVE-2025-31044 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce AA-Team Premium SEO Pack. Problem dotyczy wersji Premium SEO Pack od n/a do 3.3.2.

W systemie rezerwacji produktów Online Product Reservation System w wersji 1.0 wykryto podatność, która dotyczy nieznanej funkcji w pliku /order_view.php komponentu GET Parameter Handler. Manipulacja argumentem transaction_id prowadzi do wstrzyknięcia SQL.

W systemie rezerwacji produktów online w wersji 1.0 odkryto lukę bezpieczeństwa. Podatność ta dotyczy nieznanego kodu w pliku app/user/login.php, co prowadzi do możliwości wstrzyknięcia SQL poprzez manipulację argumentem emailadd.

In the Linux kernel, a vulnerability was found where automounted NFS filesystems do not inherit user-set mount flags such as 'ro', 'noexec', 'nodev', and 'sync'. This lack of inheritance can lead to security policy violations regarding read-only or execution restrictions.

In the Linux kernel, the HFS filesystem function hfs_correct_next_unused_CNID() calls hfs_bnode_put(node) before using the node pointer, potentially causing a use-after-free. Fixed the order of operations.

In the Linux kernel, the ALSA firewire-motu driver lacked a bounds check in the put_user loop for DSP events. This could lead to writing beyond the allocated buffer when the user buffer size is not aligned to 4 bytes.

In the backup parameters of Centreon Infra Monitoring, a user with high privileges can concatenate custom instructions to the backup setup. Improper neutralization of special elements used in an OS command allows OS Command Injection. This affects versions from 25.10.0 before 25.10.2, from 24.10.0 before 24.10.15, and from 24.04.0 before 24.04.19.

Any client with access to Apache Kyuubi Server via Kyuubi frontend protocols can bypass the server-side config kyuubi.session.local.dir.allow.list and use local files not listed in the config. This issue affects Apache Kyuubi from 1.6.0 through 1.10.2.

The QOCA aim AI Medical Cloud Platform by Quanta Computer has an Arbitrary File Upload vulnerability. An authenticated remote attacker can upload and execute a web shell, leading to arbitrary code execution on the server.

The UTT 进取 520W device version 1.7.7-180627 contains a buffer overflow vulnerability in the strcpy function in the file /goform/ConfigAdvideo. Manipulation of the argument timestart leads to buffer overflow. The attack can be carried out remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted but did not respond.

The UTT 进取 520W device version 1.7.7-180627 contains a buffer overflow vulnerability in the strcpy function in the file /goform/formTaskEdit. Manipulation of the argument selDateType leads to buffer overflow. The attack can be executed remotely. The exploit has been published and may be used. The vendor was contacted but did not respond.

The UTT 进取 520W device version 1.7.7-180627 contains a buffer overflow vulnerability in the strcpy function in the file /goform/formPptpClientConfig. Manipulation of the argument EncryptionMode results in buffer overflow. Remote exploitation is possible. The exploit is now public and may be used. The vendor was contacted but did not respond.

The UTT 进取 520W device version 1.7.7-180627 contains a buffer overflow vulnerability in the strcpy function in the file /goform/formUser. Manipulation of the argument passwd1 leads to buffer overflow. The attack may be launched remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted but did not respond.

Wtyczka Team WordPress w wersjach przed 5.0.11 nieprawidłowo sanitizuje i ucieka parametr przed jego użyciem w zapytaniu SQL za pośrednictwem akcji AJAX dostępnej dla nieautoryzowanych użytkowników, co prowadzi do podatności na wstrzyknięcie SQL.

W podatności CVE-2025-15458 zidentyfikowano problem w MiniCMS bg5sbk do wersji 1.8, dotyczący nieznanej funkcji w pliku /mc-admin/post-edit.php komponentu Article Handler. Wykonanie manipulacji może prowadzić do niewłaściwej autoryzacji, a atak można przeprowadzić zdalnie.