CVE Vulnerability Catalog

W wersji SS1 16.0.0.10 i wcześniejszych oraz wersji Media 16.0.0a i wcześniejszych występuje nieprawidłowe przypisanie uprawnień do krytycznego zasobu, co może pozwolić użytkownikom, którzy mogą zalogować się na terminalu klienckim, na uzyskanie uprawnień roota.

Wersje SS1 do 16.0.0.10 oraz Media do 16.0.0a mają problem z niewystarczającą siłą szyfrowania. W przypadku wykorzystania tej podatności, zdalny atakujący bez uwierzytelnienia może uzyskać dostęp do funkcji wymagającej autoryzacji.

Wtyczka Xagio SEO dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 7.1.0.5 włącznie, z powodu słabej struktury nazw plików oraz braku ochrony w katalogu. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych z kopii zapasowych, które mogą obejmować całą bazę danych oraz pliki witryny.

Wtyczka Video Share VOD – Turnkey Video Site Builder Script dla WordPress jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do 2.7.6 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji adminExport(), co umożliwia nieautoryzowanym atakującym aktualizację ustawień oraz wykonanie zdalnego kodu.

Podatność CVE-2025-40779 dotyczy procesu `kea-dhcp4`, który przerywa działanie w przypadku, gdy klient DHCPv4 wysyła żądanie z określonymi opcjami, a Kea nie znajduje odpowiedniej podsieci. Problem występuje tylko w przypadku unicastowych żądań kierowanych bezpośrednio do Kea, a nie przy wiadomościach rozgłoszeniowych.

A vulnerability in the Hyundai Navigation App STD5W.EUR.HMC.230516.afa908d allows an attacker to inject HTML payloads in the profile name field, which are then rendered.

Podatność CVE-2025-58218 dotyczy deserializacji niezaufanych danych w aplikacji Small Package Quotes – USPS Edition, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 1.3.9 włącznie.

W podatności CVE-2025-58217 występuje problem Cross-Site Request Forgery (CSRF) w aplikacji GeroNikolov Instant Breaking News, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Instant Breaking News od n/a do 1.0 włącznie.

In FoxCMS 1.2.6, a reflected Cross Site Scripting (XSS) vulnerability was found in /index.php/plus. An attacker can inject malicious JavaScript code via a crafted HTTP request.

A remote code execution vulnerability in Coolify versions prior to v4.0.0-beta.420.7 allows authenticated users with low-level privileges to inject arbitrary shell commands via the Git Repository field during project creation, leading to full server compromise.

A remote code execution vulnerability in Coolify prior to v4.0.0-beta.420.6 allows authenticated low-privilege users to inject malicious Docker Compose directives during project creation, mounting the host filesystem and gaining full root access.

Podatność w obsłudze połączeń Virtual Keyboard Video Monitor (vKVM) w Cisco Integrated Management Controller (IMC) może umożliwić nieautoryzowanemu, zdalnemu atakującemu przekierowanie użytkownika na złośliwą stronę internetową. Problem wynika z niewystarczającej weryfikacji punktów końcowych vKVM.

Podatność w funkcji IS-IS oprogramowania Cisco NX-OS dla przełączników Cisco Nexus 3000 i 9000 w trybie samodzielnym może pozwolić nieautoryzowanemu atakującemu z sąsiedztwa na nieoczekiwane zrestartowanie procesu IS-IS, co może spowodować ponowne załadowanie urządzenia.

Wykryto podatność w TOTOLINK T10 w wersji 4.1.8cu.5241_B20210927, która dotyczy nieznanej funkcji pliku /formLoginAuth.htm. Manipulacja argumentem authCode z wartością 1 prowadzi do niewłaściwej autoryzacji.

GLPI, czyli Gestionnaire Libre de Parc Informatique, to darmowe oprogramowanie do zarządzania zasobami IT, które oferuje funkcje ITIL Service Desk, śledzenie licencji oraz audyt oprogramowania. W wersjach od 10.0.0 do przed 10.0.19, użytkownik połączony bez praw administracyjnych może zmienić kolejność wykonywania reguł. Problem ten został naprawiony w wersji 10.0.19.

Zidentyfikowano słabość w systemie zarządzania płacami Campcodes w wersji 1.0. Problem dotyczy funkcji include w pliku /index.php, co prowadzi do możliwości włączenia plików. Atak można przeprowadzić zdalnie.

Zidentyfikowano podatność w systemie zarządzania apartamentami itsourcecode w wersji 1.0. Podatność ta dotyczy nieznanego kodu w pliku /visitor/addvisitor.php, co prowadzi do możliwości wstrzyknięcia SQL.

Wiele produktów i-フィルター zawiera problem z nieprawidłowymi domyślnymi uprawnieniami. W przypadku wykorzystania tej podatności, lokalny uwierzytelniony atakujący może zastąpić plik wykonywalny usługi na systemie, na którym działa produkt, co potencjalnie umożliwia wykonanie dowolnego kodu z uprawnieniami SYSTEM.

W instalatorach ScanSnap Manager w wersjach przed V6.5L61 występuje podatność związana z nieprawidłowym przypisaniem uprawnień. W przypadku wykorzystania tej podatności, uwierzytelniony lokalny atakujący może podnieść swoje uprawnienia i wykonać dowolne polecenie.

W systemie zarządzania mieszkaniami itsourcecode w wersji 1.0 wykryto podatność bezpieczeństwa. Problem dotyczy nieznanej funkcji w pliku /branch/addbranch.php, gdzie manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.