CVE Vulnerability Catalog

W podatności CVE-2025-47902 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w Microchip Time Provider 4100. Problem dotyczy wersji Time Provider 4100 przed 2.5.

Podatność CVE-2025-47901 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemowych w Microchip Time Provider 4100, co umożliwia atak typu OS Command Injection. Problem ten dotyczy wersji Time Provider 4100 przed 2.5.

W podatności CVE-2025-47900 w Microchip Time Provider 4100 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach systemowych, co pozwala na wstrzyknięcie poleceń systemowych. Problem dotyczy wersji Time Provider 4100 przed 2.5.

W podatności CVE-2025-3465 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w produktach ABB CoreSense™ HM oraz ABB CoreSense™ M10. Problem dotyczy wersji CoreSense™ HM do 2.3.1 oraz CoreSense™ M10 do 1.4.1.12.

In the Linux kernel, a vulnerability was found in the SMC (Shared Memory Communications) module. The smc_rx_splice() function calls get_page() on DMB buffers allocated by kzalloc(), which are not page-backed, triggering a WARN_ON_ONCE() and potentially leading to use-after-free.

In the Linux kernel, a vulnerability in the hugetlb mechanism was found where a race condition between migration and fallocate can occur. The remove_inode_single_folio function checks if the folio is mapped without holding the folio lock, leading to incorrect removal of a still-mapped folio and triggering a BUG in filemap_unaccount_folio.

W TruffleHog w wersji 3.90.2 występuje podatność na wykonanie dowolnego kodu związana z funkcjonalnością git. Specjalnie przygotowane repozytorium może prowadzić do wykonania złośliwego kodu.

A lack of rate limiting in the One-Time Password (OTP) verification endpoint of SigningHub v8.6.8 allows attackers to bypass verification via a bruteforce attack.

Lack of rate limiting in the /Home/UploadStreamDocument component of SigningHub v8.6.8 allows attackers to cause a Denial of Service (DoS) by uploading an excessive number of files.

Incorrect access control in SigningHub v8.6.8 allows attackers to arbitrarily add user accounts without rate limiting, leading to resource exhaustion and Denial of Service (DoS).

ETERNUS SF dostarczany przez Fsas Technologies Inc. zawiera lukę związaną z nieprawidłowymi domyślnymi uprawnieniami. Użytkownik o niskich uprawnieniach mający dostęp do serwera zarządzania może uzyskać dane uwierzytelniające do bazy danych, co potencjalnie umożliwia wykonanie poleceń systemowych z uprawnieniami administratora.

Wykryto podatność w urządzeniu 70mai X200 do wersji 20251010, dotycząca nieznanej funkcjonalności komponentu HTTP Web Server. Manipulacja prowadzi do wykorzystania domyślnych danych uwierzytelniających, co umożliwia zdalny atak.

W urządzeniu 70mai X200 do wersji 20251010 wykryto lukę w nieznanej funkcji komponentu Pairing. Wykonanie manipulacji może prowadzić do braku autoryzacji, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność w LibreWolf do wersji 143.0.4-1 na systemie Windows, która dotyczy nieznanej funkcji pliku assets/setup.nsi komponentu Instalatora. Manipulacja ta prowadzi do niekontrolowanej ścieżki wyszukiwania.

Wtyczka Theme Editor dla WordPressa jest podatna na atak typu Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 3.0. Problem wynika z braku lub nieprawidłowej walidacji nonce na stronie 'theme_editor_theme'.

Wykryto podatność w sterowniku Nixdorf Wincor PORT IO do wersji 1.0.0.1, która dotyczy funkcji sub_11100 w bibliotece wnport.sys. Manipulacja ta prowadzi do przepełnienia bufora na stosie, wymagając lokalnego dostępu do systemu.

Wtyczka PPOM – Product Addons & Custom Fields dla WooCommerce w WordPressie jest podatna na atak typu SQL Injection poprzez funkcję PPOM_Meta::get_fields_by_id() w wersjach do 33.0.15 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Atakujący mogą dodawać dodatkowe zapytania SQL do już istniejących, co pozwala na wydobycie wrażliwych informacji z bazy danych.

Wtyczka Event Tickets and Registration dla WordPressa jest podatna na obejście płatności we wszystkich wersjach do 5.26.5 włącznie. Problem wynika z braku weryfikacji, czy dany typ biletu powinien być darmowy, co pozwala użytkownikom na ominięcie płatności.

Wtyczka 10WebMapBuilder dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez zmianę ustawień wtyczki w wersjach do 1.0.63 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych oraz braku odpowiednich kontroli uprawnień. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Podatność typu path traversal w wszystkich wersjach Qodo Qodo Gen IDE umożliwia atakującemu odczyt dowolnych lokalnych plików w obrębie oraz poza aktualnymi projektami na systemie użytkownika końcowego. Można do niej dotrzeć bezpośrednio lub poprzez pośrednie wstrzyknięcie polecenia.