CVE Vulnerability Catalog

System Informacji Szpitalnej opracowany przez UNIMAX zawiera podatność na wstrzykiwanie SQL, która umożliwia nieautoryzowanym zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

A path traversal vulnerability exists in RIPS Scanner version 0.54. Remote attackers can read arbitrary files on the system by sending crafted HTTP GET requests to the 'windows/code.php' script with a manipulated 'file' parameter. This can lead to disclosure of sensitive information.

Zidentyfikowano podatność w oprogramowaniu HPE Telco Service Orchestrator, która może umożliwić uwierzytelnionym klientom przeprowadzenie ataku SQL Injection podczas wysyłania żądania usługi. Atakujący mogą potencjalnie uzyskać dostęp do nazwy dostawcy bazy danych.

W Kaseya Rapid Fire Tools Network Detective do wersji 2.0.16.0 odkryto problem związany z klasą EncryptionUtil. Podatność polega na tym, że szyfrowanie symetryczne jest realizowane w sposób deterministyczny i nie losowy, co prowadzi do przewidywalnych wyników szyfrowania.

Kaseya Rapid Fire Tools Network Detective w wersji 2.0.16.0 przechowuje niezaszyfrowane dane uwierzytelniające (do dostępu uprzywilejowanego) w pliku konfiguracyjnym collector.txt.

Resolver `named` z pamięcią podręczną, skonfigurowany do wysyłania opcji ECS (EDNS Client Subnet), może być podatny na atak polegający na zanieczyszczeniu pamięci podręcznej. Problem ten dotyczy wersji BIND 9 od 9.11.3-S1 do 9.16.50-S1, 9.18.11-S1 do 9.18.37-S1 oraz 9.20.9-S1 do 9.20.10-S1.

Plack-Middleware-Session przed wersją 0.35 dla Perla generuje identyfikatory sesji w sposób niebezpieczny. Domyślny generator identyfikatorów sesji zwraca skrót SHA-1, który jest inicjowany za pomocą funkcji rand, czasu epoki oraz PID, co prowadzi do przewidywalności identyfikatorów sesji.

W podatności CVE-2025-52819 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Pakke Envíos. Problem ten dotyczy wersji od n/a do 1.0.2 włącznie.

W podatności CVE-2025-52804 występuje brak autoryzacji w systemie uxper Nuss, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji Nuss od n/a do 1.3.7.1 włącznie.

W podatności CVE-2025-52803 w systemie uxper Sala występuje brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji Sala od n/a do 1.1.3.

W podatności CVE-2025-52787 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych w systemie rezerwacji kortów tenisowych EZiHosting, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji od n/a do 1.2.7 włącznie.

W podatności CVE-2025-52786 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Kingdom Creation Media Folder. Problem ten dotyczy wersji Media Folder od n/a do 1.0.0 włącznie.

W podatności CVE-2025-52779 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy stron Dot html,php,xml w wersjach do 1.0.

Podatność CVE-2025-52777 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Pay with Contact Form 7. Umożliwia to atak typu Reflected XSS, który może wpłynąć na wersje od n/a do 1.0.4.

Wtyczka PW WooCommerce On Sale! zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.39 włącznie.

W podatności CVE-2025-49876 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w Metagauss ProfileGrid. Problem ten dotyczy wersji ProfileGrid od n/a do 5.9.5.2 włącznie.

W podatności CVE-2025-49034 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w narzędziu Aman Funnel Builder od FunnelKit. Problem dotyczy wersji od n/a do 3.10.2 włącznie.

Podatność CVE-2025-49031 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce SMu Manual DoFollow w wersjach od n/a do 1.8.1.

Podatność CVE-2025-48345 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Contact Form 7 Editor Button. Problem ten dotyczy wersji od n/a do 1.0.0 włącznie.

W podatności CVE-2025-48291 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Contest Gallery. Problem dotyczy wersji od n/a do 26.0.6 włącznie.