CVE Vulnerability Catalog

W podatności CVE-2025-49368 występuje niewłaściwa kontrola nazwy pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji Palladio od n/a do 1.1.10.

W podatności CVE-2025-49367 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji Monyxi od n/a do 1.1.8.

W podatności CVE-2025-49366 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji Hanani od n/a do 1.2.11 włącznie.

W podatności CVE-2025-49365 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy wersji Jack Well od n/a do 1.0.14 włącznie.

W podatności CVE-2025-49364 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy motywu Ludos Paradise w wersjach od n/a do 2.1.3.

W podatności CVE-2025-49363 występuje niewłaściwa kontrola nazw plików w instrukcji include/require w programie PHP, co umożliwia lokalne włączenie pliku. Problem dotyczy wersji Kings & Queens od n/a do 1.1.16.

W podatności CVE-2025-49362 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Gracioza. Problem ten dotyczy wersji Gracioza od n/a do 1.0.15 włącznie.

Podatność CVE-2025-49361 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem ten występuje w motywie Mamita w wersjach od n/a do 1.0.9 włącznie.

W podatności CVE-2025-49360 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem dotyczy wersji Militarology od n/a do 1.0.15.

W podatności CVE-2025-49359 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji ShieldGroup od n/a do 2.13 włącznie.

W podatności CVE-2025-14314 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w Roxnor PopupKit. Problem dotyczy wersji PopupKit od n/a do 2.1.5 włącznie.

Seria punktów dostępowych AP180 firmy Ruijie Networks zawiera podatność na wstrzykiwanie poleceń systemowych. Atakujący, który zaloguje się do usługi CLI, może wykonać dowolne polecenie systemowe na urządzeniu.

Podatność CVE-2025-47320 dotyczy uszkodzenia pamięci podczas przetwarzania konfiguracji kanału MFC w trakcie odtwarzania muzyki. Może to prowadzić do nieprzewidzianych zachowań aplikacji.

Zed, edytor kodu, ma podatność na wykonanie dowolnego kodu w wersjach przed 0.218.2-pre. Podatność ta wynika z ładowania konfiguracji Model Context Protocol (MCP) z pliku `settings.json`, co może prowadzić do uruchomienia złośliwych poleceń powłoki na systemie gospodarza.

Zed, edytor kodu, ma podatność na wykonanie dowolnego kodu w wersjach przed 0.218.2-pre. Podatność ta wynika z możliwości załadowania złośliwej konfiguracji protokołu serwera językowego (LSP) z pliku `settings.json`, co może prowadzić do wykonania dowolnych poleceń powłoki na systemie gospodarza.

Podatność w Storybook dotyczy obsługi zmiennych środowiskowych zdefiniowanych w pliku `.env`, co może prowadzić do ich niezamierzonego uwzględnienia w artefaktach tworzonych przez polecenie `storybook build`. W przypadku publikacji zbudowanego Storybooka w Internecie, źródło pakietu jest widoczne, co może ujawnić te zmienne osobom mającym do nich dostęp.

W wersjach mcp-server-git przed 2025.12.17 funkcje git_diff i git_checkout przekazywały argumenty kontrolowane przez użytkownika bez sanitizacji do poleceń CLI git. Wartości przypominające flagi mogły być interpretowane jako opcje wiersza poleceń, co umożliwiało nadpisywanie dowolnych plików.

W wersjach mcp-server-git przed 2025.9.25 narzędzie git_init akceptowało dowolne ścieżki systemu plików i tworzyło repozytoria Git bez walidacji lokalizacji docelowej. To umożliwiało operacje na dowolnym katalogu dostępnym dla procesu serwera.

Open OnDemand umożliwia zdalny dostęp do superkomputerów. W wersjach 4.0.8 i wcześniejszych, proxy Apache pozwala na przesyłanie wrażliwych nagłówków do serwerów źródłowych, co może być wykorzystane przez złośliwych użytkowników do rejestrowania tych nagłówków.