CVE Vulnerability Catalog

Wykryto krytyczną podatność w urządzeniach H3C Magic NX15, Magic NX30 Pro, Magic NX400, Magic R3010 oraz Magic BE18000 do wersji V100R014. Podatność dotyczy nieznanej funkcjonalności pliku /api/login/auth w komponencie obsługi żądań HTTP POST, co prowadzi do wstrzykiwania poleceń.

W ingress-nginx odkryto problem bezpieczeństwa, w którym adnotacja `auth-url` Ingress może być wykorzystana do wstrzykiwania konfiguracji do nginx. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia tajemnic dostępnych dla kontrolera.

W ingress-nginx odkryto problem bezpieczeństwa, w którym adnotacje Ingress `mirror-target` i `mirror-host` mogą być wykorzystane do wstrzykiwania dowolnej konfiguracji do nginx. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia tajemnic dostępnych dla kontrolera.

W ingress-nginx odkryto problem bezpieczeństwa, w którym adnotacja Ingress `auth-tls-match-cn` może być wykorzystana do wstrzykiwania konfiguracji do nginx. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia tajemnic dostępnych dla kontrolera.

Niebezpieczne konfiguracje ciasteczek Shiro w projekcie OpenDaylight Service Function Chaining (SFC) w wersji SFC Sodium-SR4 i wcześniejszych umożliwiają atakującym dostęp do wrażliwych informacji poprzez atak typu man-in-the-middle.

Wykorzystanie niepoprawnie rozwiązanej nazwy lub odniesienia w projekcie OpenDaylight Service Function Chaining (SFC) w wersji SFC Sodium-SR4 i niższych umożliwia atakującym spowodowanie odmowy usługi (DoS).

CVE-2025-30205 dotyczy narzędzia kanidim-provision, które przed wersją 1.2.0 miało wadliwą funkcję, przez co dane logowania administratora mogły być ujawniane w logach systemowych. Problem ten dotyczy tylko użytkowników korzystających z dostarczonych poprawek oraz provisionujących swoje dane logowania do konta `admin` lub `idm_admin` w ten sposób.

Na urządzeniach 70mai Dash Cam 1S, atakujący może obejść mechanizm autoryzacji urządzenia, łącząc się bezpośrednio z siecią kamery i uzyskując dostęp do API na porcie 80 oraz RTSP na porcie 554. Wymagana autoryzacja z oficjalnej aplikacji mobilnej, która wymaga fizycznego naciśnięcia przycisku zasilania podczas połączenia, nie jest skuteczna w tym przypadku.

W systemie Digiwin ERP 5.1 zidentyfikowano krytyczną podatność w funkcji DoUpload/DoWebUpload pliku /Api/FileUploadApi.ashx, która umożliwia nieograniczone przesyłanie plików poprzez manipulację argumentem File.

Podatność typu Cross-Site Request Forgery (CSRF) w tłumaczu kornelly pozwala na przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Translator od n/a do 0.3 włącznie.

Wtyczka WP Odoo Form Integrator w wersjach od n/a do 1.1.0 zawiera podatność na Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu.

W podatności CVE-2025-30612 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce Replace Default Words, który umożliwia atak typu Stored XSS. Dotyczy to wersji od n/a do 1.3 włącznie.

Wtyczka WordPress SQL Backup w wersjach od n/a do 3.5.2 zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wtyczki Anthony WordPress SQL Backup.

Podatność CVE-2025-30604 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w mini programie JiangQie Official Website. Problem ten dotyczy wersji mini programu od n/a do 1.8.2 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w DEJAN CopyLink umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji CopyLink od n/a do 1.1 włącznie.

W podatności CVE-2025-30602 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Related Posts via Categories. Problem dotyczy wersji od n/a do 2.1.2.

W podatności CVE-2025-30590 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Dourou Flickr set slideshows. Problem ten dotyczy wersji od n/a do 0.9 włącznie.

W podatności CVE-2025-30588 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce Map Contact, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Map Contact od n/a do 3.0.4 włącznie.

W podatności CVE-2025-30587 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce shawfactor LH OGP Meta, który umożliwia przechowywanie ataków XSS. Dotyczy to wersji LH OGP Meta od n/a do 1.73 włącznie.