CVE Vulnerability Catalog

Podatność CVE-2025-9969 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w pakietach Vizly Web Design dla nieruchomości, co umożliwia oszustwa treści oraz ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji przed 5.1.

W podatności CVE-2025-10468 w systemie CityPlus firmy Beyaz Computer występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co umożliwia atak typu Path Traversal. Problem dotyczy wersji CityPlus przed 24.29375.

Wtyczka Embed PDF for WPForms dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji ajax_handler_download_pdf_media we wszystkich wersjach do i włącznie z 1.1.5. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Service Finder SMS System dla WordPressa jest podatna na obejście uwierzytelnienia we wszystkich wersjach do i włącznie z 2.0.0. Problem wynika z braku weryfikacji numeru telefonu użytkownika przed zalogowaniem.

W systemie Supermicro MBD-X12STW występuje podatność w logice walidacji firmware'u BMC. Atakujący może zaktualizować firmware systemu za pomocą specjalnie przygotowanego obrazu.

W systemie Supermicro MBD-X13SEM-F występuje podatność w logice walidacji firmware'u BMC. Atakujący może zaktualizować firmware systemu za pomocą specjalnie przygotowanego obrazu.

Oprogramowanie Cognex In-Sight Explorer oraz firmware kamer In-Sight udostępniają usługę opartą na telnecie na porcie 23, umożliwiającą operacje zarządzające, takie jak aktualizacje firmware'u i restart urządzenia, które wymagają uwierzytelnienia. Niewłaściwe zarządzanie błędami logowania tej usługi może prowadzić do ataku typu denial-of-service, uniemożliwiając dostęp do usługi telnet.

Cognex In-Sight Explorer oraz oprogramowanie kamery In-Sight ujawniają własny protokół na porcie TCP 1069, który umożliwia wykonywanie operacji zarządzających, takich jak modyfikacja właściwości systemowych. Funkcjonalność zarządzania użytkownikami obsługuje wrażliwe dane, takie jak zarejestrowane nazwy użytkowników i hasła, przesyłane przez niezaszyfrowany kanał.

Oprogramowanie Cognex In-Sight Explorer oraz firmware kamer In-Sight ujawniają protokół własnościowy na porcie TCP 1069, który umożliwia wykonywanie operacji zarządzających, takich jak modyfikacja właściwości systemowych. Funkcjonalność zarządzania użytkownikami obsługuje wrażliwe dane, takie jak zarejestrowane nazwy użytkowników i hasła, przesyłane przez niezabezpieczony kanał.

Oprogramowanie Cognex In-Sight Explorer oraz firmware kamer In-Sight udostępniają usługę opartą na telnecie na porcie 23, umożliwiającą operacje zarządzające, takie jak aktualizacje firmware'u i ponowne uruchamianie urządzenia, które wymagają uwierzytelnienia. Użytkownik z odpowiednimi uprawnieniami może wykorzystać funkcjonalność SetSerialPort do modyfikacji właściwości urządzenia, co stoi w sprzeczności z modelem bezpieczeństwa opisanym w instrukcji obsługi.

Oprogramowanie Cognex In-Sight Explorer oraz firmware kamer In-Sight udostępniają usługę implementującą własny protokół na porcie TCP 1069, co pozwala na wykonywanie operacji zarządzających, takich jak zmiana ustawień sieciowych czy modyfikacja dostępu użytkowników do urządzenia.

Oprogramowanie Cognex In-Sight Explorer oraz firmware kamer In-Sight udostępniają usługę opartą na telnecie na porcie 23, umożliwiającą operacje zarządzające, takie jak aktualizacje firmware'u i ponowne uruchamianie urządzenia, które wymagają uwierzytelnienia. Użytkownik z odpowiednimi uprawnieniami może wywołać funkcjonalność SetSystemConfig, aby zmodyfikować istotne właściwości urządzenia, co stoi w sprzeczności z modelem bezpieczeństwa przedstawionym w instrukcji obsługi.

Urządzenia Dover Fueling Solutions ProGauge MagLink LX4 nie radzą sobie z wartościami czasu Unix po pewnym punkcie. Atakujący może ręcznie zmienić czas systemowy, co może prowadzić do błędów w uwierzytelnianiu oraz stanu odmowy usługi.

Podatność CVE-2025-54754 pozwala atakującemu z dostępem sąsiednim, bez potrzeby uwierzytelnienia, na wydobycie wbudowanego hasła z publicznie dostępnego oprogramowania. Hasło to może być wykorzystane do odszyfrowania wrażliwego ruchu sieciowego, co wpływa na urządzenie Cognex.

Lokalny atakujący z niskimi uprawnieniami na systemie Windows, w którym zainstalowane jest oprogramowanie, może wykorzystać tę podatność do uszkodzenia wrażliwych danych. Folder danych jest tworzony z bardzo słabymi uprawnieniami, co pozwala każdemu użytkownikowi zalogowanemu do systemu Windows na modyfikację jego zawartości.

W oprogramowaniu SourceCodester Pet Grooming Management Software w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanego kodu w pliku /admin/operation/paid.php. Manipulacja argumentami inv_no/insta_amt prowadzi do wstrzykiwania SQL.

W systemie e-learningowym SourceCodester Responsive E-Learning System w wersji 1.0 odkryto podatność, która dotyczy pliku /admin/add_teacher.php. Manipulacja argumentem 'Username' prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

Podatność CSRF w Smartvista BackOffice SmartVista Suite 2.2.22 umożliwia atakującym wykonanie nieautoryzowanych żądań GET poprzez odpowiednio skonstruowane żądanie. Może to prowadzić do niezamierzonych działań w imieniu zalogowanego użytkownika.

A vulnerability in the user interface of Kyocera Command Center RX EXOSYS M5521cdn allows a remote attacker to obtain sensitive information by inspecting packets sent by the user.

W systemie zarządzania informacjami o studentach itsourcecode w wersji 1.0 zidentyfikowano podatność. Problem dotyczy nieznanej funkcji w pliku /admin/modules/class/index.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem classId.