CVE Vulnerability Catalog

Z powodu niewłaściwej konfiguracji zabezpieczeń BLE na serwerze GATT urządzenia, nieautoryzowany atakujący z sąsiedztwa może odczytywać i zapisywać polecenia sterujące urządzeniem za pośrednictwem usługi aplikacji mobilnej, co może doprowadzić do unieruchomienia urządzenia.

A local privilege escalation vulnerability in Bitdefender Total Security versions prior to 27.0.47.241 allows low-privileged attackers to elevate privileges. The issue arises from bdservicehost.exe deleting files from a user-writable directory without proper symbolic link validation.

Wtyczka Video Merchant dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersji <= 5.0.4. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji video_merchant_add_video_file(), co umożliwia nieautoryzowanym atakującym przesyłanie dowolnych plików.

Podatność CVE-2025-1161 dotyczy niewłaściwego użycia uprzywilejowanych interfejsów API w Nomysem, co może prowadzić do eskalacji uprawnień. Problem ten dotyczy oprogramowania Nomysem do maja 2025 roku.

Wtyczka HandL UTM Grabber / Tracker dla WordPressa w wersjach przed 2.8.1 nie sanitizuje i nie ucieka parametru przed jego wyświetleniem na stronie, co prowadzi do podatności na Reflected Cross-Site Scripting. Może to być wykorzystane przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wtyczka HandL UTM Grabber / Tracker dla WordPressa w wersjach przed 2.8.1 nie sanitizuje i nie ucieka parametru przed jego wyświetleniem na stronie, co prowadzi do podatności na Reflected Cross-Site Scripting. Może to być wykorzystane przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wtyczka Hippoo Mobile App dla WooCommerce w WordPressie jest podatna na atak typu Path Traversal we wszystkich wersjach do i włącznie z 1.7.1, poprzez funkcję template_redirect(). Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.

Filament to zbiór komponentów do przyspieszonego rozwoju w Laravel. Wersje od 4.0.0 do 4.3.0 zawierają błąd w obsłudze kodów odzyskiwania dla aplikacyjnej wieloskładnikowej autoryzacji, co pozwala na nieograniczone ponowne użycie tego samego kodu odzyskiwania.

Wersje ColdFusion 2025.4, 2023.16, 2021.22 i wcześniejsze są podatne na lukę XXE (nieprawidłowe ograniczenie odniesienia do zewnętrznych jednostek XML), co może prowadzić do nieautoryzowanego odczytu plików z systemu plików. Atakujący może wykorzystać tę lukę do uzyskania dostępu do wrażliwych plików na serwerze.

Wersje Acrobat Reader 24.001.30264, 20.005.30793, 25.001.20982, 24.001.30273, 20.005.30803 i wcześniejsze są podatne na lukę w postaci nieufnej ścieżki wyszukiwania, która może umożliwić atakującym wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, który musi otworzyć złośliwy plik.

Kamera Selea Targa IP OCR-ANPR zawiera podatność typu cross-site request forgery, która umożliwia atakującym tworzenie użytkowników administracyjnych bez autoryzacji. Atakujący mogą przygotować złośliwą stronę internetową, która wysyła formularz dodający nowego użytkownika admina z pełnymi uprawnieniami systemowymi, gdy zalogowany użytkownik odwiedza tę stronę.

STVS ProVision w wersji 5.9.10 zawiera podatność na atak typu cross-site request forgery (CSRF), która umożliwia atakującym wykonywanie działań z uprawnieniami administratora poprzez wykorzystanie niezweryfikowanych żądań HTTP. Atakujący mogą odwiedzać złośliwe strony internetowe, aby wywołać fałszywe żądanie, co pozwala im na tworzenie nowych użytkowników administratora.

W systemie zarządzania studentami itsourcecode w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanej części pliku /new_grade.php. Manipulacja argumentem 'grade' prowadzi do wstrzykiwania SQL.

W systemie zarządzania studentami itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /promote.php. Manipulacja argumentem sy prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania studentami itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /new_school_year.php. Manipulacja argumentem sy prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania studentami itsourcecode w wersji 1.0 znaleziono lukę. Nieznana funkcja w pliku /new_adviser.php pozwala na manipulację argumentem Name, co może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.

OpenSIS version 9.2 and below is vulnerable to Incorrect Access Control in Student.php, allowing an authenticated low-privilege user to perform unauthorized database write operations on other users' data.

Improper input validation in Microsoft Exchange Server allows an authorized attacker to elevate privileges over a network.

A use after free vulnerability in Microsoft Office allows an unauthorized attacker to execute code locally.

A vulnerability in Microsoft Office related to access of resource using incompatible type ('type confusion') allows an unauthorized attacker to execute code locally.