CVE Vulnerability Catalog

Podatność CVE-2025-11956 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie OBS (System Informacji o Sprawach Studenckich) firmy Proliz Software Ltd. Co., co pozwala na wystąpienie ataków typu Stored XSS.

Nieprawidłowa autoryzacja w middleware autoryzacji API HCL DevOps Loop pozwala na akceptację tokenów autoryzacyjnych bez odpowiedniej weryfikacji ich ważności i podpisu kryptograficznego. W rezultacie, atakujący może wykorzystać wygasłe lub zmanipulowane tokeny do uzyskania nieautoryzowanego dostępu do wrażliwych zasobów oraz wykonywania działań z podwyższonymi uprawnieniami.

Nieprawidłowe zarządzanie tokenem uwierzytelniającym w kliencie Amazon WorkSpaces dla systemu Linux, wersje 2023.0 do 2024.8, może ujawniać token uwierzytelniający dla WorkSpaces opartych na DCV innym lokalnym użytkownikom na tej samej maszynie klienckiej. W pewnych okolicznościach lokalny użytkownik może być w stanie wyodrębnić token uwierzytelniający innego lokalnego użytkownika z współdzielonej maszyny klienckiej i uzyskać dostęp do ich WorkSpace.

An Incorrect Access Control vulnerability in the user management component of ZwiiCMS up to v13.6.07 allows a remote, authenticated attacker to escalate their privileges. By sending a specially crafted HTTP request, a low-privilege user can access and modify the profile data of any other user, including administrators.

Serwer pocztowy MDaemon w wersji 23.5.2 weryfikuje SPF, DKIM i DMARC na podstawie adresu e-mail umieszczonego w nagłówku From: w formacie SMTP DATA. Atakujący może stworzyć nagłówek From: z wieloma niewidocznymi znakami Unicode, co pozwala na fałszowanie nadawcy, mimo że zabezpieczenia przed fałszowaniem są aktywne.

Wtyczka Premium Portfolio Features dla motywu Phlox w WordPressie jest podatna na atak Local File Inclusion we wszystkich wersjach do 2.3.10 włącznie, poprzez parametr 'args[extra_template_path]'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików .php na serwerze.

W Red Hat Satellite (komponent Foreman) znaleziono lukę, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do edytowania ustawień na wykonanie dowolnych poleceń na systemie operacyjnym. Problem wynika z niewystarczającej walidacji po stronie serwera dotyczącej białej listy poleceń.

Wtyczka Document Embedder – Embed PDFs, Word, Excel, and Other Files dla WordPressa jest podatna na nieautoryzowany dostęp, modyfikację oraz utratę danych we wszystkich wersjach do i włącznie z 2.0.0. Problem wynika z braku odpowiedniej weryfikacji uprawnień użytkownika w funkcjach 'bplde_save_document_library', 'bplde_get_all', 'bplde_get_single' oraz 'bplde_delete_document_library'.

Wtyczka File Manager for Google Drive – Integrate Google Drive with WordPress jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do i włącznie z 1.5.3 poprzez funkcję 'get_localize_data'. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych, w tym poświadczeń Google OAuth oraz adresów e-mail kont Google.

Wtyczka The Events Calendar dla WordPressa jest podatna na ślepą injekcję SQL poprzez parametr 's' w wersjach od 6.15.1.1 do 6.15.9. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika parametru oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W edytorze kodu Cursor, w wersjach do 2025.09.17-25b418f, występuje podatność, która umożliwia zdalne wykonanie kodu poprzez mechanizm serwera MCP. Atakujący może przesłać złośliwą konfigurację MCP w pliku .cursor/mcp.json w repozytorium GitHub, co prowadzi do natychmiastowego uruchomienia złośliwego serwera MCP po sklonowaniu projektu przez ofiarę.

Tencent Docs Desktop w wersji 3.9.20 i wcześniejszych ma problem z brakiem walidacji certyfikatu SSL w komponencie aktualizacji. To może prowadzić do potencjalnych ataków typu man-in-the-middle.

Wtyczka GLPI Inventory obsługuje odkrywanie sieci, inwentaryzację, wdrażanie oprogramowania oraz zbieranie danych dla agentów GLPI. Wersje 1.5.0 i poniżej są podatne na atak typu SQL Injection. Problem został naprawiony w wersji 1.5.1.

NVIDIA NVApp dla systemu Windows zawiera podatność w instalatorze, która pozwala lokalnemu atakującemu na spowodowanie problemu z elementem ścieżki wyszukiwania. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu oraz eskalacji uprawnień.

W podatności typu Insecure Direct Object Reference (IDOR) w parametrze vehicleId istnieje możliwość nieautoryzowanego dostępu do wrażliwych informacji dotyczących pojazdów innych użytkowników. Wykorzystanie tej luki pozwala atakującemu na uzyskanie danych, takich jak współrzędne GPS, klucze szyfrujące, wektory inicjalizacji, numery modeli oraz statystyki paliwa.

W modemie występuje możliwe zapisanie poza granicami z powodu przepełnienia bufora na stercie. Może to prowadzić do zdalnego podniesienia uprawnień, jeśli urządzenie końcowe połączy się z fałszywą stacją bazową kontrolowaną przez atakującego, bez potrzeby dodatkowych uprawnień do wykonania.

Wtyczka Crypto Payment Gateway z Payeer dla WooCommerce w WordPressie jest podatna na obejście płatności we wszystkich wersjach do i włącznie z 1.0.3. Problem wynika z braku odpowiedniej weryfikacji statusu płatności przez walidację po stronie serwera w punkcie końcowym /wc-api/bp-payeer-gateway-callback.

Wtyczka Footnotes Made Easy dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ustawienia wtyczki we wszystkich wersjach do 3.0.7 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wtyczka EM Beer Manager dla WordPressa jest podatna na nieautoryzowane przesyłanie plików, co prowadzi do zdalnego wykonania kodu w wersjach do 3.2.3 włącznie. Problem wynika z braku walidacji typu pliku w funkcji EMBM_Admin_Untappd_Import_image() oraz braku kontroli autoryzacji w akcji wp_ajax_embm-untappd-import.