CVE Vulnerability Catalog

Podatność CVE-2025-23608 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji LIVE TV, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.2 włącznie.

Zapora VPN opracowana przez QNO Technology posiada podatność na wstrzykiwanie poleceń systemowych, która pozwala uwierzytelnionym zdalnym atakującym na wstrzykiwanie dowolnych poleceń systemowych i ich wykonanie na serwerze.

W podatności CVE-2025-49028 występuje problem Cross-Site Request Forgery (CSRF) w Zoho Mail, który umożliwia przechowywanie XSS. Dotyczy to wersji Zoho ZeptoMail od n/a do 3.3.1 włącznie.

Zapora VPN opracowana przez QNO Technology posiada podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionym zdalnym atakującym wstrzykiwanie dowolnych poleceń systemowych i ich wykonywanie na serwerze.

Zapora VPN opracowana przez QNO Technology ma podatność na niewystarczającą entropię, co pozwala nieautoryzowanym zdalnym atakującym na uzyskanie dostępu do sesji zalogowanego użytkownika poprzez ataki brute-force, a następnie na zalogowanie się do systemu.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Custom Post Status w wersjach od n/a do 1.1.0 umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy funkcjonalności statusu niestandardowego postów.

Wtyczka Recent Posts From Each Category w Mindstien Technologies zawiera podatność na Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji od n/a do 1.4 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Noindex by Path autorstwa Marcina Kijaka umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP-EasyArchives umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji WP-EasyArchives od n/a do 3.1.2 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce SensitiveTagCloud pozwala na przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji SensitiveTagCloud od n/a do 1.4.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Social Profilr umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Social Profilr od n/a do 1.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w merzedes Custom Style umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Custom Style od n/a do 1.0 włącznie.

Wtyczka Knowband Mobile App Builder dla WordPressa przed wersją 3.0.0 nie wymaga autoryzacji przy usuwaniu użytkowników za pomocą swojego interfejsu API REST, co pozwala nieautoryzowanym atakującym na usuwanie dowolnych użytkowników.

Podatność typu Cross-Site Request Forgery (CSRF) w menedżerze portfeli Behance Portfolio Manager umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji menedżera portfeli od n/a do 1.7.5 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Simple Archive Generator umożliwia przeprowadzenie ataku Stored XSS. Problem dotyczy wersji od n/a do 5.2 włącznie.

Wykryto podatność w urządzeniach Tenda i24, 4G03 Pro, 4G05, 4G08, G0-8G-PoE, Nova MW5G oraz TEG5328F do wersji 65.10.15.6. Problem dotyczy nieznanej funkcji komponentu Shadow File, która umożliwia uzyskanie dostępu do twardo zakodowanych poświadczeń poprzez manipulację wejściem Fireitup.

W podatności CVE-2025-62753 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce MadrasThemes MAS Videos w wersjach od n/a do 1.3.4. Problem ten umożliwia atakującym dostęp do lokalnych plików na serwerze.

Podatność CSRF w wtyczce WP-CalDav2ICS umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.3.4 włącznie.

Tosibox Key Service 3.3.0 contains an unquoted service path vulnerability that allows local non-privileged users to potentially execute code with elevated system privileges. Attackers can exploit the service startup process by inserting malicious code in the system root path, enabling unauthorized code execution during application startup or system reboot.

H3C SSL VPN zawiera podatność na enumerację użytkowników, która pozwala atakującym na identyfikację prawidłowych nazw użytkowników za pomocą parametru POST 'txtUsrName'. Atakujący mogą przesyłać różne nazwy użytkowników do punktu końcowego login_submit.cgi i analizować komunikaty odpowiedzi, aby odróżnić istniejące konta od nieistniejących.