CVE Vulnerability Catalog

W podatności CVE-2025-68061 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy wersji EduMall od n/a do 4.4.7.

Podatność CVE-2025-68056 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w wtyczce LBG Zoominoutslider, co umożliwia atak typu SQL Injection. Problem ten dotyczy wersji wtyczki od n/a do 5.4.4 włącznie.

W podatności CVE-2025-68055 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w aplikacji Themefic Hydra Booking. Problem dotyczy wersji Hydra Booking od n/a do 1.1.32 włącznie.

W podatności CVE-2025-68054 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji CountDown With Image or Video Background w wersjach od n/a do 1.5.

W podatności CVE-2025-68053 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do ataku typu Blind SQL Injection w aplikacji LambertGroup xPromoter. Problem dotyczy wersji xPromoter od n/a do 1.3.4 włącznie.

Podatność CVE-2025-67999 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w systemie Newsletter autorstwa Stefano Lissy. Problem ten dotyczy wersji Newsletter od n/a do 9.0.9 włącznie.

Wtyczka AIOSEO Broken Link Checker zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 1.2.6.

W podatności CVE-2025-67950 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce All In One SEO Pack w wersjach do 4.9.1.

W SEIKO EPSON Web Config występuje podatność typu przepełnienie bufora na stosie. Specjalnie przygotowane dane wprowadzone przez zalogowanego użytkownika mogą prowadzić do wykonania dowolnego kodu.

Podatność związana z niewłaściwą kontrolą dostępu w sterowniku Advantech SUSI (susi.sys) umożliwia atakującym odczyt/zapis dowolnej pamięci, portów I/O oraz MSR, co prowadzi do eskalacji uprawnień, wykonania dowolnego kodu oraz ujawnienia informacji. Problem dotyczy wersji Advantech SUSI: 5.0.24335 i wcześniejszych.

A maliciously crafted MODEL file, when parsed through certain Autodesk products, can force an Out-of-Bounds Write vulnerability. An attacker may leverage this to cause a crash, cause data corruption, or execute arbitrary code in the context of the current process.

A maliciously crafted CATPRODUCT file, when parsed through certain Autodesk products, can force a Heap-Based Overflow vulnerability. An attacker can leverage this to cause a crash, read sensitive data, or execute arbitrary code in the context of the current process.

Wtyczka edytora dashboardów Pentaho Data Integration i Analytics w wersjach przed 10.2.0.4, w tym 9.3.0.x i 8.3.x, deserializuje nieufne dane JSON bez ograniczenia parsera do zatwierdzonych klas i metod.

Zomplog version 3.9 contains a remote code execution vulnerability that allows authenticated attackers to inject and execute arbitrary PHP code through file manipulation endpoints. Attackers can upload files (such as JavaScript) and rename them to .php, then execute the resulting PHP payload.

EDB Hybrid Manager zawiera lukę, która pozwala nieautoryzowanemu atakującemu na bezpośredni dostęp do niektórych punktów końcowych gRPC. Może to umożliwić atakującemu odczytanie potencjalnie wrażliwych danych lub spowodowanie odmowy usługi poprzez zapisanie nieprawidłowych danych do tych punktów końcowych.

A flaw was found in the runtimes-inventory-rhel8-operator where an internal proxy component is incorrectly configured. This causes the proxy to attach the cluster's main administrative credentials to any command it receives, instead of only the specific reports it is supposed to handle.

A security issue exists due to improper handling of malformed CIP packets during fuzzing. The controller enters a hard fault with solid red Fault LED and becomes unresponsive. Upon power cycle, the controller will enter recoverable fault where the MS LED and Fault LED become flashing red and reports fault code 0xF019. To recover, clear the fault.

A security issue was found in the IPv6 stack in the Micro850 and Micro870 controllers when the controllers received multiple malformed packets during fuzzing. The controllers will go into recoverable fault with fault code 0xFE60. To recover the controller, clear the fault.

A Directory Traversal vulnerability in FNT Command 13.4.0 allows unauthorized access to files outside the application's root directory. An attacker can exploit this flaw to read sensitive configuration or system files.

FNT Command 13.4.0 is vulnerable to code execution via the C Base Module. An attacker can exploit this vulnerability to execute arbitrary code remotely.