CVE Vulnerability Catalog

Develocity (wcześniej Gradle Enterprise) w wersjach przed 2024.1.8 ma niewłaściwą kontrolę dostępu. Wprowadzenie konfiguracji kontroli dostępu na poziomie projektu w schemacie konfiguracji Enterprise w wersji 8 nie obejmuje sekcji projektów podczas migracji do wersji 9 i 10, co prowadzi do resetowania ustawień projektów do wartości domyślnych.

Wtyczki Quiz Maker Business, Developer i Agency dla WordPress są podatne na wykonanie dowolnego shortcode'a we wszystkich wersjach do 8.8.0 (Business), 21.8.0 (Developer) oraz 31.8.0 (Agency). Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem do_shortcode.

Wtyczki Quiz Maker Business, Developer i Agency dla WordPress są podatne na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'ays_save_google_credentials' w wersjach do 8.8.0 (Business), 21.8.0 (Developer) oraz 31.8.0 (Agency). Umożliwia to nieautoryzowanym atakującym modyfikację danych uwierzytelniających integracji z Google Sheets w ustawieniach wtyczki.

Podatność CVE-2025-0543 dotyczy lokalnego podnoszenia uprawnień w kliencie G DATA Security z powodu nieprawidłowego przypisania uprawnień do katalogów. Umożliwia to lokalnemu, nieuprzywilejowanemu atakującemu eskalację uprawnień poprzez umieszczenie dowolnego pliku wykonywalnego w katalogu, który można zapisać globalnie, co skutkuje jego wykonaniem przez usługę SetupSVC.exe w kontekście SYSTEM.

Podatność CVE-2025-0542 dotyczy lokalnego podwyższania uprawnień z powodu nieprawidłowego przypisania uprawnień do plików tymczasowych w mechanizmie aktualizacji G DATA Management Server. Umożliwia to lokalnemu, nieuprzywilejowanemu atakującemu eskalację uprawnień na dotkniętych instalacjach poprzez umieszczenie spreparowanego archiwum ZIP w globalnie zapisywalnym katalogu, które jest rozpakowywane w kontekście SYSTEM, co prowadzi do możliwości zapisu dowolnych plików.

Wtyczka Custom Product Tabs Lite dla WooCommerce w WordPressie jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do i włącznie z 1.9.0, poprzez deserializację niezaufanych danych z parametru 'frs_woo_product_tabs'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Menedżera Sklepu i wyżej wstrzyknięcie obiektu PHP.

Wykryto podatność w Rise Group Rise Mode Temp CPU 2.1, sklasyfikowaną jako krytyczną. Dotyczy ona nieznanej części biblioteki CRYPTBASE.dll komponentu Startup, co prowadzi do nieufnej ścieżki wyszukiwania.

Narzędzie HL7 FHIR IG publisher przed wersją 1.7.4 jest podatne na ataki typu XML external entity injection, co może prowadzić do ujawnienia danych z systemu gospodarza. Złośliwy plik XML z tagiem DTD `( ]>` może umożliwić dostęp do wrażliwych informacji.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce mgplugin Roi Calculator umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Roi Calculator od n/a do 1.0 włącznie.

W podatności CVE-2025-24728 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection. Problem dotyczy biblioteki Bug Library w wersjach od n/a do 2.1.4 włącznie.

W podatności CVE-2025-24683 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP Chill RSVP i Event Management. Problem dotyczy wersji RSVP i Event Management od n/a do 2.7.14 włącznie.

W podatności CVE-2025-24672 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w narzędziu Form Builder CP w wersjach od n/a do 1.2.41.

Podatność CVE-2025-24669 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji SERPed.net w wersjach od n/a do 4.4.

W podatności CVE-2025-24663 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Simple Download Monitor w wersjach od n/a do 3.9.25.

W podatności CVE-2025-24659 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce Shahjada WPDM – Premium Packages. Problem dotyczy wersji WPDM – Premium Packages od n/a do 5.9.6.

W podatności CVE-2025-24636 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce MachForm Shortcode, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji MachForm Shortcode od n/a do 1.4.1.

W podatności CVE-2025-24587 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Nks Email Subscription Popup. Problem dotyczy wersji od n/a do 1.2.23 włącznie.

Podatność CVE-2025-24570 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Atarim. Problem ten dotyczy wersji Atarim od n/a do 4.0.8.

W podatności CVE-2025-24562 występuje problem Cross-Site Request Forgery (CSRF) w Optimal Access KBucket, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji KBucket od n/a do 4.1.6 włącznie.