CVE Vulnerability Catalog

W aplikacji internetowej Progress Flowmon przed wersją 12.5.5 występuje podatność, która pozwala na niezamierzone wywołanie działań w sesji uwierzytelnionego użytkownika po kliknięciu w złośliwy link dostarczony przez atakującego.

W wersjach Flowmon przed 12.5.5 zidentyfikowano podatność, która pozwala użytkownikowi z uprawnieniami administratora i dostępem do interfejsu zarządzania na wykonanie dodatkowych, niezamierzonych poleceń w skryptach przeznaczonych do celów diagnostycznych.

In the Linux kernel's mac80211 WiFi subsystem, the S1G capability element is not accounted for in scan_ies_len. This causes a buffer length validation failure in ieee80211_prep_hw_scan() and a WARN in __ieee80211_start_scan(), preventing hardware scanning.

In the Linux kernel's igc driver, igc_probe() failed when igc_led_setup() failed, causing a kernel panic in free_netdev() due to missing unregister_netdev(). Since LED support is not mandatory, the fix treats LED setup failures as non-fatal and continues with a warning, preventing the panic.

A vulnerability was found in the Linux kernel's TCP Fast Open implementation. The tcp_disconnect() function did not clear the fastopen_rsk pointer, causing a retransmit timer to fire incorrectly after socket reuse (e.g., connect(AF_UNSPEC) followed by a new connect()), leading to a warning and potential network disruption.

Wtyczka Popup builder z funkcjami gamifikacji, wieloetapowych popupów, targetowania na poziomie strony oraz wyzwalaczy WooCommerce dla WordPressa jest podatna na atak typu SQL Injection we wszystkich wersjach do 2.1.3 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru 'id' oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Lisfinity Core używana w motywie WordPress pebas® Lisfinity jest podatna na eskalację uprawnień poprzez aktualizację hasła we wszystkich wersjach do 1.4.0 włącznie. Problem wynika z braku odpowiedniej weryfikacji tożsamości użytkownika przed aktualizacją hasła.

W systemie ChurchCRM do wersji 5.18.0 odkryto lukę bezpieczeństwa w funkcji AuthMiddleware, która znajduje się w pliku src/ChurchCRM/Slim/Middleware/AuthMiddleware.php. Manipulacja tą funkcją prowadzi do braku autoryzacji, co umożliwia zdalne przeprowadzenie ataku.

W podatności CVE-2025-11527 zidentyfikowano problem w urządzeniu Tenda AC7 w wersji 15.03.06.44. Nieznana funkcja w pliku /goform/fast_setting_pppoe_set może prowadzić do przepełnienia bufora na stosie w wyniku manipulacji argumentem Password.

W Tenda AC7 w wersji 15.03.06.44 odkryto podatność, która występuje w nieznanej funkcji pliku /goform/WifiMacFilterSet. Manipulacja argumentem wifi_chkHz prowadzi do przepełnienia bufora na stosie.

Wtyczka Cookie Notice & Consent dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr uuid we wszystkich wersjach do 1.6.5 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

W kodzie projektu E-Commerce Website w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanej części pliku /pages/supplier_update.php. Manipulacja argumentem supp_id prowadzi do wstrzyknięcia SQL.

Zidentyfikowano słabość w systemie zarządzania salonem piękności PHPGurukul w wersji 1.1. Problem dotyczy nieznanej funkcji w pliku /admin/search-invoices.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem searchdata.

W systemie zarządzania salonem piękności PHPGurukul w wersji 1.1 odkryto lukę bezpieczeństwa. Problem dotyczy nieznanej funkcji w pliku /admin/search-appointment.php, gdzie manipulacja argumentem searchdata prowadzi do wstrzykiwania SQL.

W systemie zarządzania salonem piękności PHPGurukul w wersji 1.1 zidentyfikowano podatność. Manipulacja argumentem delid w pliku /admin/new-appointment.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania salonem piękności PHPGurukul w wersji 1.1 zidentyfikowano podatność. Problem dotyczy nieznanego przetwarzania pliku /admin/manage-services.php, co może prowadzić do wstrzyknięcia SQL poprzez manipulację argumentem delid.

In Casdoor version 2.26.0 and earlier, a vulnerability in the permission verification module and organization/application editing interface allows remote authenticated administrators of any organization to bypass the system's permission verification mechanism by directly concatenating URLs after login. The issue is fixed in version 2.63.0.

An OS Command Injection vulnerability in the Admin panel of Curo UC300 version 5.42.1.7.1.63R1 allows local attackers to inject arbitrary OS commands via the "IP Addr" parameter.

Zidentyfikowano słabość w urządzeniach D-Link DIR-852 do wersji 20251002, która dotyczy nieznanej części pliku /HNAP1/. Manipulacja w tym obszarze może prowadzić do wstrzyknięcia poleceń.

Podatność w ABB MConfig polegająca na przechowywaniu w pamięci wrażliwych informacji w postaci niezaszyfrowanej. Problem dotyczy wersji MConfig do 1.4.9.21.