CVE Vulnerability Catalog

Punkt końcowy przesyłania plików niewystarczająco weryfikuje nagłówek żądania 'Upload-Key'. Uwierzytelniony atakujący może wykorzystać sekwencje przejścia ścieżki, aby spowodować, że serwer utworzy artefakty związane z przesyłaniem plików poza zamierzonym miejscem przechowywania.

Wtyczka Responsive Filterable Portfolio dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w polu HdnMediaSelection_image we wszystkich wersjach do i włącznie z 1.0.24. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka WP Import – Ultimate CSV XML Importer dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku weryfikacji uprawnień w akcji AJAX 'get_ftp_details' we wszystkich wersjach do 7.27 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta lub wyższym, na pobranie skonfigurowanych danych uwierzytelniających SFTP/FTP.

Wtyczka Import any XML, CSV or Excel File do WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji importu we wszystkich wersjach do 3.9.3 włącznie. Umożliwia to atakującym z dostępem na poziomie Administratora przesyłanie niebezpiecznych plików, takich jak pliki .phar.

Brak autoryzacji w instalatorze Zoom Workplace dla systemu Windows na ARM przed wersją 6.5.0 może umożliwić uwierzytelnionemu użytkownikowi przeprowadzenie eskalacji uprawnień poprzez lokalny dostęp.

W wabac.js w wersji 2.23.10 i poniżej występuje podatność typu Reflected Cross-Site Scripting (XSS) w logice obsługi błędów 404. Parametr `requestURL` jest bezpośrednio osadzany w bloku `<script>` bez sanitizacji, co umożliwia atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

CoreDNS to serwer DNS, który łączy wtyczki. W wersjach od 1.2.0 do 1.12.4 wtyczka etcd zawiera podatność na konfuzję TTL, gdzie identyfikatory dzierżawy są błędnie używane jako wartości TTL, co umożliwia ataki na pamięć podręczną DNS.

Podatność CVE-2025-55047 dotyczy użycia twardo zakodowanych poświadczeń w aplikacji. Tego rodzaju praktyka może prowadzić do nieautoryzowanego dostępu do systemów i danych.

W urządzeniu TP-Link AX10 Ax1500 w wersji 1.3.10 Build (20230130) występuje problem, który umożliwia zdalnemu atakującemu uzyskanie poufnych informacji.

W systemie lmsys sglang w wersji 0.4.6 odkryto lukę bezpieczeństwa w funkcji main pliku /update_weights_from_tensor. Manipulacja argumentem serialized_named_tensors prowadzi do deserializacji, co stwarza możliwość zdalnego ataku.

W systemie Lingdang CRM do wersji 8.6.5.4 wykryto podatność, która dotyczy nieznanej funkcji w pliku crm/WeiXinApp/dingtalk/index_event.php. Manipulacja argumentem corpurl prowadzi do ataku typu server-side request forgery (SSRF).

W podatności CVE-2025-59008 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie PressTigers ZIP Code Based Content Protection w wersjach od n/a do 1.0.0.

W podatności CVE-2025-58993 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Themeum Tutor LMS. Problem dotyczy wersji Tutor LMS od n/a do 3.7.4 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w WooCommerce Booking Bundle Hours umożliwia przechowywanie ataków XSS. Problem ten dotyczy wersji WooCommerce Booking Bundle Hours od n/a do 0.7.4.

W podatności CVE-2025-58215 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne włączenie pliku. Problem dotyczy wersji Ziston od n/a do poniżej 1.4.5.

W podatności CVE-2025-54709 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości zdalnego dołączenia pliku. Problem ten dotyczy wersji Sala od n/a do 1.1.6.

Podatność CVE-2025-53303 dotyczy deserializacji niezaufanych danych w ThemeMove Core, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji ThemeMove Core od n/a do 1.4.2 włącznie.

Podatność typu Server-Side Request Forgery (SSRF) w FWDesign Ultimate Video Player fwduvp umożliwia atakującym wysyłanie złośliwych żądań do serwera. Problem ten dotyczy wersji Ultimate Video Player od n/a do 10.1 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce Constant Contact dla WordPress umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 4.1.1.

Podatność CVE-2025-47695 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w wersjach Blog Designer PRO od n/a do 3.4.7.