CVE Vulnerability Catalog

Jellystat to darmowa i otwarta aplikacja statystyczna dla Jellyfin. W dotkniętych wersjach Jellystat bezpośrednio wykorzystuje dane wejściowe użytkownika w trasach, co może prowadzić do podatności na przejście ścieżki. Funkcjonalność ta jest dostępna tylko dla administratorów, co ogranicza możliwości nadużyć.

Polycom RealPresence Group 500 w wersjach do 20 ma niebezpieczne uprawnienia spowodowane automatycznie ładowanymi ciasteczkami. Umożliwia to korzystanie z funkcji administratora, co prowadzi do wycieku wrażliwych informacji użytkowników.

Geovision GV-ASWeb w wersji 6.1.1.0 lub niższej pozwala atakującym na modyfikację metody żądania POST na GET w krytycznych funkcjonalnościach, takich jak zarządzanie kontem. Ta podatność jest wykorzystywana w połączeniu z CVE-2024-56901 do przeprowadzenia skutecznego ataku CSRF.

Podatność na ujawnienie informacji w aplikacji webowej Geovision GV-ASManager w wersji v6.1.0.0 lub niższej, która ujawnia informacje o kontach, w tym hasła w postaci niezaszyfrowanej.

W aplikacji Geovision GV-ASWeb w wersji 6.1.1.0 lub niższej występuje podatność typu Cross-Site Request Forgery (CSRF), która pozwala atakującym na dowolne tworzenie kont administratorów za pomocą spreparowanej metody żądania GET. Ta podatność jest wykorzystywana w połączeniu z CVE-2024-56903 do przeprowadzenia skutecznego ataku CSRF.

W podatności CVE-2024-56898 występuje problem z kontrolą dostępu w Geovision GV-ASWeb w wersji v6.1.0.0 lub niższej. Umożliwia to użytkownikom o niskich uprawnieniach wykonywanie działań, do których nie są uprawnieni, co może prowadzić do eskalacji uprawnień oraz tworzenia, modyfikowania lub usuwania kont.

The Nedis SmartLife Android app version 1.4.0 was found to have an API key disclosure vulnerability. An attacker could exploit this key to gain unauthorized access to app functions or data.

A vulnerability in the Nedis SmartLife Video Doorbell (model WIFICDP10GY) and Nedis SmartLife iOS app version 1.4.0 causes users who disconnect from a previous peer-to-peer connection with the device to still have access to the live video feed.

Podatność typu Directory Traversal w pliku backup-sql-file.jar w wersji 3.0.31 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez plik BackupController.java.

Wtyczka BoomBox Theme Extensions dla WordPressa jest podatna na atak Local File Inclusion we wszystkich wersjach do i włącznie z 1.8.0, poprzez atrybut 'type' shortcode'a 'boombox_listing'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie co najmniej 'contributor' do dołączenia i wykonania dowolnych plików na serwerze.

Dostęp do książki adresowej umożliwia modyfikację ustawień SMB/FTP, co może prowadzić do przekierowania skanów i potencjalnego przechwycenia poświadczeń. Wymaga to włączonych funkcji skanowania oraz dostępu do drukarki.

Prolink 4G LTE Mobile Wi-Fi DL-7203E w wersji V4.0.0B05 jest podatny na atak typu SQL Injection w punkcie końcowym /reqproc/proc_get. Podatność ta umożliwia atakującemu manipulację zapytaniami SQL poprzez wstrzykiwanie złośliwego kodu SQL do parametru order_by.

Nieprawidłowa weryfikacja podpisu w loaderze poprawek mikroprogramu ROM procesora AMD może pozwolić atakującemu z lokalnymi uprawnieniami administratora na załadowanie złośliwego mikroprogramu CPU, co prowadzi do utraty poufności i integralności poufnego gościa działającego pod AMD SEV-SNP.

Podatność CVE-2025-24781 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w WPJobBoard, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach WPJobBoard od n/a do 5.10.1.

Podatność CVE-2025-24707 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce gt3-photo-video-gallery. Problem ten dotyczy wersji od n/a do 2.7.7.24.

W podatności CVE-2025-24684 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Ederson Peka Media Downloader. Problem dotyczy wersji Media Downloader od n/a do 0.4.7.5 włącznie.

Podatność CVE-2025-24676 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Custom WP Store Locator, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.4.7.

Podatność CVE-2025-24661 dotyczy deserializacji niezaufanych danych w wtyczce Taxi Booking Manager dla WooCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 1.1.8 włącznie.

Podatność CVE-2025-24660 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Simple Membership Custom Messages, co prowadzi do możliwości ataku typu Reflected XSS. Problem ten występuje w wersjach od n/a do 2.4 włącznie.