CVE Vulnerability Catalog

W podatności CVE-2025-58215 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne włączenie pliku. Problem dotyczy wersji Ziston od n/a do poniżej 1.4.5.

W podatności CVE-2025-54709 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości zdalnego dołączenia pliku. Problem ten dotyczy wersji Sala od n/a do 1.1.6.

Adobe Experience Manager versions 6.5.23.0 and earlier are affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in a Security feature bypass. A low-privileged attacker could leverage this vulnerability to manipulate server-side requests and bypass security controls allowing unauthorized read access.

Podatność CVE-2025-53303 dotyczy deserializacji niezaufanych danych w ThemeMove Core, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji ThemeMove Core od n/a do 1.4.2 włącznie.

Improper access control in Azure Windows Virtual Machine Agent allows an authorized attacker to elevate privileges locally.

Podatność typu Server-Side Request Forgery (SSRF) w FWDesign Ultimate Video Player fwduvp umożliwia atakującym wysyłanie złośliwych żądań do serwera. Problem ten dotyczy wersji Ultimate Video Player od n/a do 10.1 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce Constant Contact dla WordPress umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 4.1.1.

Podatność CVE-2025-47695 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w wersjach Blog Designer PRO od n/a do 3.4.7.

W podatności CVE-2025-47694 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Blog Designer PRO w wersjach od n/a do 3.4.7.

Podatność CVE-2025-47579 dotyczy deserializacji niezaufanych danych w wtyczce ThemeGoods Photography, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Photography od n/a do 7.7.2 włącznie.

Podatność CVE-2025-47571 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem ten występuje w wtyczce Super Store Finder w wersjach od n/a do poniżej 7.8.

W podatności CVE-2025-47570 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WooCommerce Photo Reviews w wersjach od n/a do 1.3.13.

W podatności CVE-2025-47569 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WooCommerce Ultimate Gift Card w wersjach od n/a do 2.9.6.

Podatność CVE-2025-32689 dotyczy niewłaściwej walidacji określonej ilości w danych wejściowych w wtyczce WP SmartPay. Problem ten dotyczy wersji WP SmartPay od n/a do 2.8.2 włącznie.

W mechanizmie odzyskiwania hasła w Hossein Material Dashboard występuje słabość, która może być wykorzystana do resetowania zapomnianego hasła. Problem ten dotyczy wersji Material Dashboard od n/a do 1.4.6 włącznie.

Insufficient filename validation in Ivanti Endpoint Manager before 2024 SU3 SR1 and 2022 SU8 SR2 allows a remote unauthenticated attacker to achieve remote code execution. User interaction is required.

K7RKScan.sys w wersji 23.0.0.10, będący częścią pakietu K7 Security Anti-Malware, pozwala użytkownikowi z uprawnieniami administratora na wysyłanie spreparowanych żądań IOCTL w celu zakończenia procesów chronionych przez implementację zewnętrzną. Problem wynika z niewystarczającej walidacji wywołującego w obsłudze IOCTL sterownika.

A Cross Site Scripting (XSS) vulnerability in YesWiki v.4.54 allows a remote attacker to execute arbitrary code via a crafted payload in the meta configuration robots field.

W usłudze internetowej OpenMessaging w TecCom TecConnect 4.1 występuje podatność na ślepą iniekcję XML External Entity (XXE), która pozwala nieautoryzowanemu atakującemu na wykradanie dowolnych plików na serwer kontrolowany przez atakującego. TecConnect 4.1 uznawany jest za produkt, którego wsparcie zakończyło się w grudniu 2023 roku.

Interfejs administracyjny HTTP punktu dostępowego Bluetooth Amp’ed RF BT-AP 111 nie posiada funkcji uwierzytelniania, co umożliwia nieautoryzowany dostęp każdemu, kto ma dostęp do sieci.