CVE Vulnerability Catalog

W podatności CVE-2025-9935 zidentyfikowano lukę w urządzeniu TOTOLINK N600R w wersji 4.3.0cu.7866_B20220506. Luka ta dotyczy funkcji sub_4159F8 w pliku /web_cste/cgi-bin/cstecgi.cgi, co może prowadzić do zdalnego wstrzyknięcia poleceń.

W systemie zarządzania salonem piękności PHPGurukul w wersji 1.1 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /admin/view-appointment.php. Manipulacja argumentem viewid prowadzi do wstrzykiwania SQL.

W systemie zarządzania salonem piękności PHPGurukul w wersji 1.1 odkryto lukę. Problem dotyczy nieznanej funkcjonalności pliku /admin/update-image.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem lid.

W systemie zarządzania salonem piękności 1000projects w wersji 1.0 wykryto podatność na zdalne ataki. Manipulacja argumentem 'mobnumber' w pliku /admin/contact-us.php prowadzi do możliwości wykonania ataku typu SQL injection.

Wtyczka Easy Timer dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 4.2.1, poprzez shortcode'y wtyczki. Problem wynika z niewystarczającego ograniczenia atrybutów shortcode'ów.

Wtyczka atec Debug dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w parametrze 'debug_path' we wszystkich wersjach do i włącznie z 1.2.22. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej usuwanie dowolnych plików na serwerze.

Wtyczka atec Debug dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 1.2.22 poprzez parametr 'custom_log'. Problem wynika z niewystarczającego oczyszczania podczas zapisywania ścieżki do niestandardowego logu.

In the Vaadin Upload component, when the start listener is used to validate metadata about an incoming upload, it is possible to bypass the upload validation. Affected versions include Vaadin 7.0.0-7.7.47, 8.0.0-8.28.1, 14.0.0-14.13.0, 23.0.0-23.6.1, and 24.0.0-24.7.6.

Projekt langchain-ai/langchain, a konkretnie komponent EverNoteLoader, jest podatny na ataki XML External Entity (XXE) z powodu niebezpiecznego parsowania XML. Wersja dotknięta podatnością to 0.3.63, a problem wynika z użycia etree.iterparse() bez wyłączenia odniesień do zewnętrznych encji.

Wtyczka Make Connector dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej konfiguracji walidacji typów plików w funkcji 'upload_media' we wszystkich wersjach do 1.5.10 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Markdownify to serwer Model Context Protocol do konwersji różnych danych na Markdown. Wersje poniżej 0.0.2 zawierają podatność na wstrzykiwanie poleceń, spowodowaną niesanitarnym użyciem parametrów wejściowych w wywołaniu child_process.exec, co umożliwia atakującemu wstrzykiwanie dowolnych poleceń systemowych.

Soft Serve to samodzielny serwer Git do obsługi z linii poleceń. W wersjach 0.9.1 i poniżej, atakujący mogą tworzyć lub nadpisywać dowolne pliki z niekontrolowanymi danymi za pośrednictwem API SSH. Problem ten został naprawiony w wersji 0.10.0.

Podatność CVE-2025-2417 w Akinsoft e-Mutabakat polega na niewłaściwym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia obejście procesu uwierzytelniania. Problem dotyczy wersji e-Mutabakat od 2.02.06 do przed v2.02.06.

Podatność CVE-2025-2411 w Akinsoft TaskPano polega na niewłaściwym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia obejście procesu uwierzytelniania. Problem dotyczy wersji TaskPano od s1.06.04 do przed v1.06.06.

Podatność CVE-2024-13073 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Akinsoft TaskPano, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji s1.06.04 oprogramowania TaskPano.

Podatność CVE-2024-13071 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Akinsoft e-Mutabakat, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji e-Mutabakat od 2.02.05 do przed v2.02.06.

W systemie zarządzania podróżami projectworlds w wersji 1.0 odkryto lukę bezpieczeństwa. Problem dotyczy nieznanej funkcji w pliku /viewcategory.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem t1.

Zidentyfikowano podatność w systemie zarządzania podróżami projectworlds w wersji 1.0. Problem dotyczy nieznanej funkcji w pliku /viewpackage.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem t1.

XWiki Platform versions 4.2-milestone-2 through 16.10.6 allow access to configuration files via jsx and sx endpoints. It is possible to read configuration files using crafted URLs such as `http://localhost:8080/bin/ssx/Main/WebHome?resource=../../WEB-INF/xwiki.cfg&minify=false`. This is fixed in version 16.10.7.

W systemie zarządzania podróżami projectworlds w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanej funkcji w pliku /viewsubcategory.php. Manipulacja argumentem t1 prowadzi do wstrzykiwania SQL, co może być przeprowadzone zdalnie.