CVE Vulnerability Catalog

Podatność CVE-2025-52739 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji uxper Sala, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Sala od n/a do 1.1.3.

Wtyczka Blappsta Mobile App ma podatność na Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 0.8.8.8 w aplikacjach mobilnych na iPhone'a i Androida.

Podatność CVE-2025-47566 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ZoomSounds, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji ZoomSounds od n/a do 6.91.

Podatność CSRF w Themefy Bloggie umożliwia wykonanie ataku typu Reflected XSS. Problem ten dotyczy wersji Bloggie od n/a do 2.0.8.

Podatność CVE-2025-30628 dotyczy wtyczki Amazon Affiliates Addon dla WPBakery Page Builder, umożliwiając atak SQL Injection z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten występuje w wersjach od n/a do 1.2.

W podatności CVE-2025-28949 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Codedraft Mediabay - WordPress Media Library Folders. Problem ten dotyczy wersji wtyczki od n/a do 1.4.

Podatność CVE-2025-23757 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ZD Scribd iPaper, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.0 włącznie.

W podatności CVE-2025-23719 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce ZhinaTwitterWidget w wersjach od n/a do 1.0. Problem ten umożliwia atakującym wstrzykiwanie złośliwego kodu JavaScript.

W podatności CVE-2025-23707 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Matamko En Masse, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji En Masse od n/a do 1.0 włącznie.

Podatność CVE-2025-23705 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w galerii projektów Terry'ego Zielke. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 2.5.0.

Podatność CVE-2025-23667 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce custom-post-edit w wersjach od n/a do 1.0.4. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

meterN w wersji 1.2.3 zawiera podatność na zdalne wykonanie kodu, która wymaga uwierzytelnienia. Atakujący mogą wykorzystać parametry POST 'COMMANDx' i 'LIVECOMMANDx' w skryptach admin_meter2.php oraz admin_indicator2.php do wykonania dowolnych poleceń systemowych z uprawnieniami administratora.

Cypress Solutions CTM-200 w wersji 2.7.1 zawiera podatność na wstrzykiwanie poleceń w skrypcie aktualizacji oprogramowania, która wymaga uwierzytelnienia. Atakujący mogą wykorzystać parametr 'fw_url' w skrypcie ctm-config-upgrade.sh do wstrzykiwania i wykonywania dowolnych poleceń z uprawnieniami roota.

Cypress Solutions CTM-200/CTM-ONE w wersji 1.3.6 zawiera podatność na twardo zakodowane dane uwierzytelniające w dystrybucji Linux, co umożliwia dostęp do konta root. Atakujący mogą wykorzystać statyczne hasło 'Chameleon' do uzyskania zdalnego dostępu root przez Telnet lub SSH na podatnych urządzeniach.

Podatność w Epic Games Psyonix Rocket League w wersjach do 1.95 pozwala uwierzytelnionym użytkownikom na modyfikację plików wykonywalnych z pełnymi uprawnieniami. Atakujący mogą wykorzystać flagę 'F' (Pełne) dla grupy 'Uwierzytelnieni użytkownicy', aby zmieniać pliki wykonywalne i potencjalnie podnosić uprawnienia systemowe.

Router szerokopasmowy ZBL EPON ONU V100R001 zawiera podatność na eskalację uprawnień, która pozwala ograniczonym użytkownikom administracyjnym na podniesienie swoich uprawnień poprzez wysyłanie żądań do punktów końcowych konfiguracji. Atakujący mogą wykorzystać tę podatność, uzyskując dostęp do strony kopii zapasowej konfiguracji lub hasła, co pozwala na ujawnienie hasła superużytkownika.

KZTech JT3500V 4G LTE CPE w wersji 2.0.1 zawiera podatność w zarządzaniu sesjami, która pozwala atakującym na ponowne wykorzystanie starych poświadczeń sesji bez odpowiedniego wygaszenia. Słabe zarządzanie sesjami może prowadzić do nieautoryzowanego dostępu do urządzenia.

Router bezprzewodowy NuCom 11N w wersji 5.07.90 zawiera podatność na eskalację uprawnień, która pozwala użytkownikom bez uprawnień na dostęp do danych logowania administratora poprzez punkt końcowy kopii zapasowej konfiguracji. Atakujący mogą wysłać spreparowane żądanie HTTP GET do strony kopii zapasowej konfiguracji z określonym ciasteczkiem, aby odzyskać i zdekodować hasło administratora w formacie Base64.

Selea CarPlateServer w wersji 4.0.1.6 zawiera podatność na zdalne wykonanie programu, która pozwala atakującym na uruchamianie dowolnych binarnych plików Windows poprzez manipulację parametrem konfiguracyjnym NO_LIST_EXE_PATH. Atakujący mogą obejść uwierzytelnianie przez punkt końcowy /cps/ i modyfikować konfigurację serwera, w tym zmieniać hasła administratorów oraz wykonywać polecenia systemowe.

Selea CarPlateServer w wersji 4.0.1.6 zawiera podatność na niecytowaną ścieżkę usługi w konfiguracji usługi Windows, co pozwala lokalnym użytkownikom na potencjalne wykonanie kodu z podwyższonymi uprawnieniami. Atakujący mogą wykorzystać tę podatność, wprowadzając złośliwy kod w ścieżce głównej systemu, który może być uruchomiony z uprawnieniami LocalSystem podczas uruchamiania aplikacji lub ponownego uruchamiania systemu.