CVE Vulnerability Catalog

In jshERP v3.5, the ResourceController.java component has an incorrect access control vulnerability. An unauthorized attacker can obtain all corresponding ID data by modifying the ID value.

In jshERP v3.5, the RoleController.java component has incorrect access control, allowing unauthorized attackers to arbitrarily modify the supplier status under any account.

Plex Media Server (PMS) w wersjach od 1.41.7.x do 1.42.0.x przed wersją 1.42.1 jest podatny na nieprawidłowy transfer zasobów między sferami. Interfejs /myplex/account ujawnia dane uwierzytelniające właściciela serwera, a wywołanie /api/resources ujawnia inne serwery dostępne dla tego właściciela.

Motyw Inspiro dla WordPressa jest podatny na atak Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 2.1.2. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji inspiro_install_plugin().

W EdgeMAX EdgeSwitch (wersja 1.11.0 i wcześniejsze) występuje niewłaściwa walidacja danych wejściowych, co może umożliwić atak typu Command Injection przez złośliwego aktora mającego dostęp do sąsiedniej sieci EdgeSwitch.

W aplikacji UISP występuje wiele błędów związanych z nieprawidłowym przypisaniem uprawnień do krytycznych zasobów, co może pozwolić złośliwemu użytkownikowi z określonymi uprawnieniami na eskalację uprawnień.

Podatność CVE-2025-27215 dotyczy niewłaściwej kontroli dostępu, która może pozwolić złośliwemu użytkownikowi, posiadającemu autoryzację w API niektórych urządzeń UniFi Connect Display Cast, na wprowadzenie nieobsługiwanych zmian w systemie.

W systemie Swatadru Exam-Seating-Arrangement zidentyfikowano podatność, która dotyczy nieznanej funkcji w pliku /student.php komponentu logowania studenta. Manipulacja argumentem email może prowadzić do ataku typu SQL injection, który można przeprowadzić zdalnie.

W produktach ManageEngine, takich jak Asset Explorer, ServiceDesk Plus, ServiceDesk Plus MSP oraz SupportCenter Plus, zidentyfikowano lukę w zarządzaniu uprawnieniami. Dotyczy ona wersji Asset Explorer przed 7710, ServiceDesk Plus przed 15110, ServiceDesk Plus MSP przed 14940 oraz SupportCenter Plus przed 14940.

MJM QuickPlayer version 2010 contains a stack-based buffer overflow vulnerability triggered by opening a malicious .s3m music file. The flaw occurs due to improper bounds checking in the file parser, allowing an attacker to overwrite memory and execute arbitrary code.

Xion Audio Player versions 1.0.126 and prior are vulnerable to a Unicode-based stack buffer overflow triggered by opening a specially crafted .m3u playlist file. The file contains an overly long string that overwrites the Structured Exception Handler (SEH) chain, allowing an attacker to hijack execution flow and run arbitrary code.

Podatność na obejście uwierzytelniania w jobx do wersji 1.0.1-RELEASE umożliwia atakującemu dostęp do wrażliwego API bez konieczności posiadania tokena, wykorzystując funkcję preHandle.

Występuje podatność typu 'Path Traversal', która pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Może to prowadzić do zdalnego wykonania kodu, gdy uwierzytelniony atakujący z uprawnieniami administratora przesyła złośliwy plik przez HTTP, który następnie zostaje wykonany.

W podatności CVE-2025-54925 występuje luka typu Server-Side Request Forgery (SSRF), która może prowadzić do nieautoryzowanego dostępu do wrażliwych danych. Atakujący może skonfigurować aplikację, aby uzyskać dostęp do złośliwego adresu URL.

W podatności CVE-2025-54924 występuje luka typu Server-Side Request Forgery (SSRF), która może prowadzić do nieautoryzowanego dostępu do wrażliwych danych. Atakujący może wykorzystać specjalnie przygotowany dokument, aby zaatakować podatny punkt końcowy.

Podatność w procesie resetowania hasła aplikacji mobilnej Touch Lebanon w wersji 2.20.2 pozwala atakującemu na ominięcie mechanizmu resetowania hasła za pomocą OTP. Manipulując procesem resetowania, nieautoryzowany użytkownik może zresetować hasło i uzyskać dostęp do konta bez konieczności podawania ważnego czynnika uwierzytelniającego.

W podatności CVE-2025-5261 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w oprogramowaniu Pik Online. Umożliwia to wykorzystanie zaufanych identyfikatorów przed wersją 3.1.5.

Podatność typu Server-Side Request Forgery (SSRF) w Pik Online Yazılım Çözümleri A.Ş. umożliwia atakującym wysyłanie żądań do wewnętrznych zasobów serwera. Problem dotyczy wersji Pik Online przed 3.1.5.

Podatność CVE-2025-55715 dotyczy wtyczki Otter - Gutenberg Block, która umożliwia wstrzykiwanie wrażliwych informacji do wysyłanych danych. Problem ten występuje w wersjach od n/a do 3.1.0.

W podatności CVE-2025-54750 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Funnel Builder od FunnelKit w wersjach od n/a do 3.11.1.