CVE Vulnerability Catalog

Podatność CVE-2025-64093 umożliwia zdalne wykonanie kodu, pozwalając nieautoryzowanym atakującym na wstrzykiwanie dowolnych poleceń do nazwy hosta urządzenia. To stwarza poważne zagrożenie dla bezpieczeństwa systemu.

Ta podatność umożliwia nieautoryzowanym atakującym wstrzykiwanie zapytań SQL do parametrów żądania GET oraz bezpośrednie zapytania do baz danych. Może to prowadzić do ujawnienia danych lub manipulacji danymi w bazie.

Ta podatność umożliwia uwierzytelnionym atakującym wykonywanie poleceń za pośrednictwem konfiguracji NTP urządzenia.

Ta podatność pozwala uwierzytelnionym atakującym na wykonywanie poleceń za pomocą nazwy hosta urządzenia.

An authenticated user could access and utilize AI model settings from unauthorized namespaces by manipulating namespace identifiers in API requests. The issue affects GitLab EE versions 18.4 before 18.5.5, 18.6 before 18.6.3, and 18.7 before 18.7.1.

A vulnerability in GitLab CE/EE allows an unauthenticated attacker to execute arbitrary code in the context of an authenticated user's browser by tricking the user into visiting a specially crafted webpage. The issue affects versions from 18.6 before 18.6.3 and 18.7 before 18.7.1.

W GNU Wget2 znaleziono lukę, która jest przepełnieniem bufora na stosie. Występuje ona w logice sanitizacji nazw plików podczas przetwarzania kontrolowanych przez atakującego ścieżek URL, szczególnie gdy aktywne są opcje ograniczeń nazw plików.

W aplikacji GNU Wget2 odkryto problem z bezpieczeństwem związany z obsługą dokumentów Metalink. Aplikacja nieprawidłowo weryfikuje ścieżki plików podawane w elementach <file name> Metalink, co może być wykorzystane przez atakującego do zapisywania plików w niezamierzonych lokalizacjach na systemie.

Wtyczka Frontend Admin autorstwa DynamiApps dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'acff' w akcji AJAX 'frontend_admin/forms/update_field' we wszystkich wersjach do 3.28.23 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.

Wtyczka Frontend Admin autorstwa DynamiApps dla WordPressa jest podatna na brak autoryzacji, co umożliwia nieautoryzowanym użytkownikom modyfikację i usuwanie danych. Problem wynika z braku sprawdzenia uprawnień w funkcji 'delete_object' we wszystkich wersjach do 3.28.25 włącznie.

Wtyczka Eventin – Event Manager, Events Calendar, Event Tickets and Registrations dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'post_settings' we wszystkich wersjach do 4.0.51 włącznie. Umożliwia to nieautoryzowanym atakującym modyfikację ustawień wtyczki oraz wstrzykiwanie dowolnych skryptów webowych.

Galaxy Store prior to version 4.6.02 has improper input validation, allowing a local attacker to execute arbitrary script.

PROCA driver prior to SMR Jan-2026 Release 1 has a Use After Free vulnerability that allows local attackers to potentially execute arbitrary code.

SLocation prior to SMR Jan-2026 Release 1 has improper access control, allowing local attackers to execute privileged APIs.

Vulnerability in Fastjson before version 1.2.48 allows an attacker to perform JNDI injection by manipulating the @type key in a JSON document. The attacker can invoke public methods of a specified Java class, leading to remote code execution. This flaw was actively exploited in the wild from 2023 to 2025.

Wtyczka SlimStat Analytics dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr `fh` (odcisk palca) we wszystkich wersjach do 5.3.3 włącznie. Problem wynika z niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych dla wartości odcisku palca przechowywanej w bazie danych.

Wtyczka SlimStat Analytics dla WordPressa jest podatna na przechowywane ataki typu Cross-Site Scripting (XSS) poprzez parametry 'notes' i 'resource' we wszystkich wersjach do 5.3.4 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy administrator uzyska dostęp do raportu Ostatnich Zdarzeń Niestandardowych.

Wtyczka Frontend Admin autorstwa DynamiApps dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 3.28.29 włącznie. Problem wynika z niewystarczającej walidacji wartości ról dostarczanych przez użytkowników w funkcjach 'validate_value', 'pre_update_value' oraz 'get_fields_display'.

Wtyczka Brevo dla WooCommerce w WordPressie jest podatna na atak typu Stored Cross-Site Scripting poprzez parametr 'user_connection_id' we wszystkich wersjach do i włącznie z 4.0.49, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Routery KAYSUS KS-WR3600 z oprogramowaniem układowym 1.0.5.9.1 niewłaściwie zarządzają konfiguracją. Po zalogowaniu się użytkownika i utrzymaniu aktywnej sesji, atakujący może bezpośrednio zapytać o punkt końcowy kopii zapasowej i pobrać pełny archiwum konfiguracji.