CVE Vulnerability Catalog

W podatności CVE-2025-8461 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu Seres Software syWEB, co pozwala na ataki typu Reflected XSS.

W podatności CVE-2025-8456 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu Kod8, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy strony Kod8 dla osób indywidualnych i małych oraz średnich przedsiębiorstw do dnia 03022026.

Wtyczka OS DataHub Maps dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej walidacji typu pliku w funkcji 'OS_DataHub_Maps_Admin::add_file_and_ext' we wszystkich wersjach do i włącznie z 1.8.3. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Tutor LMS – rozwiązanie e-learningowe dla WordPressa jest podatna na nieautoryzowane odniesienia do obiektów (IDOR) we wszystkich wersjach do 3.9.5 włącznie. Brak odpowiednich kontroli autoryzacji na poziomie obiektów w funkcjach `course_list_bulk_action()`, `bulk_delete_course()` oraz `update_course_status()` umożliwia atakującym z poziomem dostępu Tutor Instructor i wyżej modyfikację lub usunięcie dowolnych kursów, których nie posiadają, poprzez manipulację identyfikatorami kursów w żądaniach akcji zbiorczych.

Podatność CVE-2025-8590 w oprogramowaniu SKSPro firmy AKCE Software Technology R&D Industry and Trade Inc. umożliwia indeksowanie katalogów, co prowadzi do ujawnienia wrażliwych informacji osobom nieuprawnionym. Problem ten dotyczy wersji SKSPro do dnia 1 lipca 2026 roku.

Podatność CVE-2025-8589 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu SKSPro firmy AKCE Software Technology R&D Industry and Trade Inc. Umożliwia to ataki typu Reflected XSS.

W urządzeniach punktów dostępu bezprzewodowego ELECOM występuje podatność na przepełnienie bufora na stosie. Odpowiednio skonstruowany pakiet może prowadzić do wykonania dowolnego kodu.

A command injection vulnerability exists in ELECOM wireless LAN products. A crafted request from a logged-in user may lead to arbitrary OS command execution.

Wtyczka Form Maker od 10Web dla WordPressa jest podatna na przechowywane ataki typu Cross-Site Scripting we wszystkich wersjach do i włącznie z 1.15.35. Problem wynika z domyślnej listy dozwolonych plików, która obejmuje pliki SVG oraz słabej walidacji rozszerzeń opartych na podciągach.

Wtyczka Form Maker dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez wartości ukrytych pól we wszystkich wersjach do i włącznie z 1.15.35. Problem wynika z niewystarczającego zabezpieczenia wyjścia podczas wyświetlania wartości ukrytych pól w liście zgłoszeń administracyjnych.

Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPress jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pola profilu klienta we wszystkich wersjach do 5.2.5 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych, które będą wykonywane, gdy administrator przegląda historię aktywności klienta.

Instalator Roland Cloud Manager w wersji 3.1.19 i wcześniejszych niebezpiecznie ładuje biblioteki Dynamic Link Library (DLL), co może umożliwić atakującemu wykonanie dowolnego kodu z uprawnieniami aplikacji.

Podatność w Brocade Fabric OS przed wersją 9.2.1c3 umożliwia lokalnie uwierzytelnionemu użytkownikowi podniesienie swoich uprawnień do poziomu 'root' za pomocą opcji eksportu poleceń seccertmgmt i seccryptocfg.

Podatność CVE-2026-24936 dotyczy niewłaściwej walidacji parametrów wejściowych w określonym programie CGI, co pozwala nieautoryzowanemu zdalnemu atakującemu na zapis dowolnych danych do plików na systemie podczas dołączania do domeny AD z ADM. Wykorzystanie tej podatności może prowadzić do nadpisania krytycznych plików systemowych, co skutkuje całkowitym kompromitowaniem systemu.

Podatność w systemie Brocade Fabric OS umożliwia uwierzytelnionemu, lokalnemu atakującemu z odpowiednimi uprawnieniami dostęp do powłoki Bash oraz do niebezpiecznie przechowywanych treści plików, w tym historii poleceń.

Podatność w MediaWiki związana z plikami programowymi includes/Api/ApiFormatXml.Php. Dotyczy wersji MediaWiki przed 1.39.16, 1.43.6, 1.44.3 oraz 1.45.1.

Podatność w CheckUser Wikimedia Foundation związana z plikami programowymi includes/Mail/UserMailer.Php. Dotyczy wersji CheckUser przed 1.39.14, 1.43.4 oraz 1.44.1.

Podatność w systemie Brocade Fabric OS w wersjach przed 9.2.1c2 umożliwia użytkownikowi na poziomie administratora wykonanie polecenia bind, co może prowadzić do eskalacji uprawnień oraz ominięcia zabezpieczeń, umożliwiając wykonanie dowolnych poleceń.

Podatność w bezpiecznej konfiguracji usług uwierzytelniania i zarządzania w Brocade Fabric OS przed wersją 9.2.1c2 może pozwolić uwierzytelnionemu, zdalnemu atakującemu z uprawnieniami administratora na wykonywanie dowolnych poleceń jako root przy użyciu komend 'supportsave', 'seccertmgmt' oraz 'configupload'.

Podatność w skrypcie migracyjnym dla Brocade SANnav przed wersją 3.0 umożliwia zbieranie zapytań SQL z bazy danych w pliku wsparcia SANnav. Atakujący z dostępem do pliku wsparcia SANnav może otworzyć ten plik i uzyskać wrażliwe informacje, takie jak szczegóły tabel bazy danych oraz zaszyfrowane hasła.