CVE Vulnerability Catalog

W podatności CVE-2025-69034 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Mikado-Themes Lekker. Problem dotyczy wersji Lekker od n/a do 1.8 włącznie.

W podatności CVE-2025-68996 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy wtyczki Responsive Posts Carousel Pro w wersjach od n/a do 15.1.

Podatność CVE-2025-68990 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w systemie BWL Pro Voting Manager w wersjach do 1.4.9.

W podatności CVE-2025-68987 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączanie plików. Problem ten dotyczy wersji Cinerama od n/a do 2.9 włącznie.

W podatności CVE-2025-68985 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne dołączanie plików. Problem dotyczy wersji Aora od n/a do 1.3.15 włącznie.

W podatności CVE-2025-68984 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem ten dotyczy wersji Puca od n/a do 2.6.39.

W podatności CVE-2025-68983 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem dotyczy wersji Greenmart od n/a do 4.2.11.

W systemie Simple Stock System 1.0 odkryto lukę, która dotyczy nieznanej funkcji w pliku /market/login.php. Manipulacja argumentem Username może prowadzić do wstrzyknięcia SQL.

Zidentyfikowano słabość w urządzeniu Tenda M3 w wersji 1.0.0.13(4903), dotyczącą funkcji formSetRemoteInternetLanInfo w pliku /goform/setInternetLanInfo. Manipulacja argumentami portIp/portMask/portGateWay/portDns/portSecDns prowadzi do przepełnienia bufora na stercie.

W urządzeniu Tenda M3 w wersji 1.0.0.13(4903) odkryto lukę bezpieczeństwa, która dotyczy funkcji formSetAdInfoDetails w pliku /goform/setAdInfoDetail. Manipulacja argumentami takimi jak adName, smsPassword, smsAccount, weixinAccount, weixinName, smsSignature, adRedirectUrl, adCopyRight, smsContent oraz adItemUID prowadzi do przepełnienia bufora w stercie.

W Tenda M3 w wersji 1.0.0.13(4903) zidentyfikowano podatność, która dotyczy funkcji formSetRemoteVlanInfo w pliku /goform/setVlanInfo. Manipulacja argumentem ID/vlan/port może prowadzić do przepełnienia bufora na stosie.

Wykryto podatność w urządzeniu Tenda M3 w wersji 1.0.0.13(4903). Problem dotyczy funkcji formSetVlanPolicy w pliku /goform/setVlanPolicyData, gdzie manipulacja argumentem qvlan_truck_port prowadzi do przepełnienia bufora w stercie.

Zidentyfikowano słabość w urządzeniach Tenda AC10U w wersjach 15.03.06.48 oraz 15.03.06.49. W funkcji fromadvsetlanip w pliku /goform/AdvSetLanip, manipulacja argumentem lanMask może prowadzić do przepełnienia bufora.

W urządzeniu Tenda AC23 w wersji 16.03.07.52 odkryto lukę bezpieczeństwa w funkcji formSetPPTPUserList komponentu obsługi żądań HTTP POST. Manipulacja listą argumentów prowadzi do przepełnienia bufora, co może być wykorzystane przez atakującego zdalnie.

Coturn to darmowa, otwartoźródłowa implementacja serwera TURN i STUN. Wersje od 4.6.2r5 do 4.7.0-r4 mają wadliwy generator liczb losowych dla nonce oraz losowania portów, co umożliwia przewidywanie następnych nonce i portów przez atakującego.

W CubeWP w wersjach od n/a do 1.1.27 występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL).

Podatność CVE-2025-23554 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Off Page SEO autorstwa Jakuba Glosa. Problem ten dotyczy wersji wtyczki od n/a do 3.0.3 włącznie.

Podatność CVE-2025-23550 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w produkcie Product Puller od Kemal YAZICI, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 1.5.1 włącznie.

Podatność CVE-2025-23469 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Sleekplan, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Sleekplan od n/a do 0.2.0 włącznie.

Podatność CVE-2025-23458 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Rakessh Ads24 Lite wp-ad-management, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Ads24 Lite od n/a do 1.0 włącznie.