CVE Vulnerability Catalog

W podatności CVE-2025-15457 w MiniCMS bg5sbk do wersji 1.8 zidentyfikowano problem w nieznanej funkcji pliku /minicms/mc-admin/post.php, która dotyczy komponentu Trash File Restore Handler. Manipulacja tym elementem prowadzi do niewłaściwej autoryzacji, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność w bg5sbk MiniCMS w wersjach do 1.8, dotycząca nieznanej funkcji w pliku /mc-admin/page-edit.php komponentu Publish Page Handler. Manipulacja tą funkcją prowadzi do niewłaściwej autoryzacji, co może umożliwić zdalny atak.

W systemie rezerwacji produktów Online Product Reservation System w wersji 1.0 odkryto podatność, która dotyczy nieznanej części pliku /handgunner-administrator/edit.php w komponencie obsługi parametrów POST. Manipulacja argumentami prod_id/nazwa/cena/model/serial prowadzi do wstrzyknięcia SQL.

W systemie rezerwacji produktów online w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /handgunner-administrator/delete.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

W systemie rezerwacji produktów Online Product Reservation System 1.0 zidentyfikowano podatność, która dotyczy nieznanej funkcji w pliku /handgunner-administrator/prod.php komponentu Parameter Handler. Manipulacja argumentami cat/price/name/model/serial prowadzi do wstrzyknięcia SQL.

W systemie rezerwacji produktów online w wersji 1.0 zidentyfikowano podatność bezpieczeństwa. Dotyczy ona nieznanej funkcji w pliku /handgunner-administrator/adminlogin.php, co prowadzi do możliwości wstrzyknięcia SQL poprzez manipulację argumentami emailadd/pass.

A vulnerability in Petlibro Smart Pet Feeder Platform up to version 1.7.31 allows unauthorized device manipulation by accepting arbitrary serial numbers without ownership verification. Attackers can control any device by sending serial numbers to device control APIs.

An authorization bypass vulnerability in Petlibro Smart Pet Feeder Platform up to version 1.7.31 allows unauthorized users to add themselves as shared owners to any device by exploiting missing permission checks in the device share API.

W podatności CVE-2025-64124 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń systemowych w kontrolerze Multi-Stack (MSC) firmy Nuvation Energy. Problem dotyczy wersji przed 2.5.1.

Podatność CVE-2025-64120 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemowych w kontrolerze Multi-Stack (MSC) firmy Nuvation Energy, co umożliwia atak typu OS Command Injection. Problem ten dotyczy wersji kontrolera od 2.3.8 do przed 2.5.1.

W MessagePack dla Javy występuje podatność na odmowę usługi w wersjach przed 0.9.11, związana z deserializacją plików .msgpack zawierających obiekty EXT32 z długościami ładunków kontrolowanymi przez atakującego. Podczas deserializacji, biblioteka nie narzuca górnego ograniczenia na alokację tablicy bajtów, co może prowadzić do wyczerpania pamięci JVM.

Bagisto is an open source Laravel eCommerce platform. Prior to version 2.3.10, a stored Cross-Site Scripting (XSS) vulnerability exists in the CMS page editor. Although the platform attempts to sanitize `<script>` tags, the filtering can be bypassed by manipulating the raw HTTP POST request, allowing arbitrary JavaScript to be stored and executed when the page is viewed or edited.

Bagisto is an open source Laravel eCommerce platform. Versions prior to 2.3.10 are vulnerable to server-side template injection via first name and last name from a low-privilege user. Version 2.3.10 fixes the issue.

Bagisto is an open source Laravel eCommerce platform. Prior to version 2.3.10, an Insecure Direct Object Reference vulnerability in the customer order reorder function allows any authenticated customer to add items from another customer's order to their own shopping cart by manipulating the order ID parameter.

Emlog is an open source website building system. Versions up to and including 2.5.19 are vulnerable to server-side Out-of-Band (OOB) requests / SSRF via uploaded SVG files. An attacker can upload a crafted SVG containing external resource references, causing the server to issue an HTTP request to an attacker-controlled host when processing the file.

W kodzie projektu Online Music Site 1.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /Frontend/Feedback.php. Manipulacja argumentem fname prowadzi do wstrzyknięcia SQL, co może być wykorzystane zdalnie.

W kodzie projektu Online Music Site 1.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /Frontend/AlbumByCategory.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

W projekcie Online Music Site w wersji 1.0 odkryto lukę, która pozwala na wstrzyknięcie SQL poprzez manipulację argumentem ID w pliku /Frontend/ViewSongs.php. Atak można przeprowadzić zdalnie.

W systemie zarządzania treścią code-projects w wersji 1.0 wykryto podatność. Nieznana funkcja w pliku /pages.php umożliwia wstrzyknięcie SQL poprzez manipulację argumentem ID, co może być przeprowadzone zdalnie.

W Plex Media Server (PMS) w wersji do 1.42.2.10156 istnieje luka, która pozwala na dostęp do /myplex/account za pomocą tokena urządzenia, niezależnie od tego, czy urządzenie jest aktualnie powiązane z kontem.