CVE Vulnerability Catalog

A SQL injection vulnerability in SuiteCRM versions prior to 7.12.6 exists in the processing of the 'uid' parameter within the export functionality. Remote unauthenticated attackers can exploit this flaw to execute arbitrary code.

W systemie zarządzania treścią MetInfo (CMS) do wersji 8.1 występuje podatność typu Server-Side Request Forgery (SSRF), możliwa do osiągnięcia poprzez wstrzyknięcie zewnętrznej jednostki XML (XXE). Wadliwa logika analizy XML pozwala atakującemu na skonstruowanie złośliwej jednostki XML, która zmusza serwer do inicjowania żądania HTTP do dowolnego adresu sieciowego.

In runc versions 1.2.7 and below, 1.3.0-rc.1 through 1.3.1, 1.4.0-rc.1 and 1.4.0-rc.2, insufficient verification of the bind-mount source (e.g., container's /dev/null) allows attacks: arbitrary mount gadget leading to host information disclosure, host DoS, container escape, or bypassing maskedPaths.

An ownership verification issue in the Virtual Desktop preview page in the Research and Engineering Studio (RES) on AWS before version 2025.09 may allow an authenticated remote user to view another user's active desktop session metadata, including periodical desktop preview screenshots.

A vulnerability in KiloView Dual Channel 4k HDMI & 3G-SDI HEVC Video Encoder firmware version 1.20.0006 allows a remote attacker to cause a denial of service (DoS) via the systemctrl API System/reFactory component.

In Devolutions Server, an improper access control issue allows a View-only user to retrieve sensitive third-level nested fields, such as password list custom values, resulting in password disclosure. Affects versions 2025.3.2.0 through 2025.3.5.0 and 2025.2.15.0 and earlier.

Improper privilege management during pre-MFA cookie handling in Devolutions Server allows a low-privileged authenticated user to impersonate another account by replaying the pre-MFA cookie. This does not bypass the target account MFA verification step. This issue affects versions 2025.3.2.0 through 2025.3.5.0 and 2025.2.15.0 and earlier.

A maliciously crafted file, when executed on the victim's machine, can lead to privilege escalation to NT AUTHORITY/SYSTEM due to an insufficient validation of loaded binaries. An attacker with local and low-privilege access could exploit this to execute code as SYSTEM.

Podatność CVE-2025-6327 w King Addons dla Elementor umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji od n/a do 51.1.36.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce King Addons dla Elementor umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 51.1.36.

W podatności CVE-2025-64287 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy aplikacji Alloggio - Hotel Booking w wersjach od n/a do 1.8.

Podatność CVE-2025-64232 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w module Import from YML w wersjach od n/a do 3.1.17 włącznie.

Podatność CVE-2025-64198 dotyczy aplikacji Easy Social Share Buttons, która pozwala na atak typu Reflected XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten występuje w wersjach od n/a do poniżej 10.7.1.

The Contest Gallery plugin by ContestGallery developer contains a Cross-Site Request Forgery vulnerability in versions from n/a through 28.0.0. This vulnerability allows an attacker to leverage CSRF to perform unauthorized actions in the context of a logged-in administrator.

The Effect Maker plugin by anibalwainstein contains a Missing Authorization vulnerability that allows exploiting incorrectly configured access control security levels. This issue affects Effect Maker from n/a through <= 1.2.1.

Podatność CVE-2025-62076 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Simple Payment w wersjach od n/a do 2.4.6.

Podatność CVE-2025-62075 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w Simple Payment w wersjach od n/a do 2.4.6 włącznie.

W podatności CVE-2025-62074 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WPMobile.App w wersjach od n/a do 11.71.

Podatność CVE-2025-62067 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w motywie Elated-Themes Savory w wersjach od n/a do 2.5.

Podatność CVE-2025-62066 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w wersjach Revolution od n/a do poniżej 2.5.8.