CVE Vulnerability Catalog

A vulnerability in Island Lake WebBatch before version 2025C allows remote code execution via a crafted URL. An attacker can send a specially crafted HTTP request, leading to arbitrary code execution on the server.

W bramie bezpieczeństwa Mingyu przed wersją v3.0-5.3p odkryto podatność na zdalne wykonanie polecenia (RCE) poprzez parametr log_type w pliku /log/fw_security.mds.

W wersji OA EKP v16 odkryto podatność na dowolne pobieranie plików poprzez komponent /ui/sys_ui_extend/sysUiExtend.do. Ta podatność umożliwia atakującym uzyskanie hasła administratora oraz dalsze zdobycie uprawnień do bazy danych.

System Informacji Szpitalnej opracowany przez UNIMAX zawiera podatność na wstrzykiwanie SQL, która umożliwia nieautoryzowanym zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

Wtyczka Madara - Core dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji wp_manga_delete_zip() we wszystkich wersjach do 2.2.3 włącznie. Umożliwia to nieautoryzowanym atakującym usuwanie dowolnych plików na serwerze.

Wtyczka Bears Backup dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 2.0.0. Problem wynika z braku sprawdzenia uprawnień w funkcji bbackup_ajax_handle() oraz niewalidowania danych wejściowych dostarczonych przez użytkownika, co umożliwia nieautoryzowanym atakującym wykonanie kodu na serwerze.

A path traversal vulnerability exists in RIPS Scanner version 0.54. Remote attackers can read arbitrary files on the system by sending crafted HTTP GET requests to the 'windows/code.php' script with a manipulated 'file' parameter. This can lead to disclosure of sensitive information.

A vulnerability in a subset of REST APIs of Cisco Prime Infrastructure and Cisco Evolved Programmable Network Manager (EPNM) allows an authenticated, low-privileged attacker to perform a blind SQL injection attack. The issue is due to insufficient validation of user-supplied input.

Zidentyfikowano podatność w oprogramowaniu HPE Telco Service Orchestrator, która może umożliwić uwierzytelnionym klientom przeprowadzenie ataku SQL Injection podczas wysyłania żądania usługi. Atakujący mogą potencjalnie uzyskać dostęp do nazwy dostawcy bazy danych.

W Kaseya Rapid Fire Tools Network Detective do wersji 2.0.16.0 odkryto problem związany z klasą EncryptionUtil. Podatność polega na tym, że szyfrowanie symetryczne jest realizowane w sposób deterministyczny i nie losowy, co prowadzi do przewidywalnych wyników szyfrowania.

Kaseya Rapid Fire Tools Network Detective w wersji 2.0.16.0 przechowuje niezaszyfrowane dane uwierzytelniające (do dostępu uprzywilejowanego) w pliku konfiguracyjnym collector.txt.

Resolver `named` z pamięcią podręczną, skonfigurowany do wysyłania opcji ECS (EDNS Client Subnet), może być podatny na atak polegający na zanieczyszczeniu pamięci podręcznej. Problem ten dotyczy wersji BIND 9 od 9.11.3-S1 do 9.16.50-S1, 9.18.11-S1 do 9.18.37-S1 oraz 9.20.9-S1 do 9.20.10-S1.

Plack-Middleware-Session przed wersją 0.35 dla Perla generuje identyfikatory sesji w sposób niebezpieczny. Domyślny generator identyfikatorów sesji zwraca skrót SHA-1, który jest inicjowany za pomocą funkcji rand, czasu epoki oraz PID, co prowadzi do przewidywalności identyfikatorów sesji.

W podatności CVE-2025-52836 występuje błędne przypisanie uprawnień w systemie E-Commerce ERP firmy Unity Business Technology Pty Ltd, co umożliwia eskalację uprawnień. Problem dotyczy wersji E-Commerce ERP od n/a do 2.1.1.3 włącznie.

W podatności CVE-2025-52819 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Pakke Envíos. Problem ten dotyczy wersji od n/a do 1.0.2 włącznie.

W podatności CVE-2025-52804 występuje brak autoryzacji w systemie uxper Nuss, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji Nuss od n/a do 1.3.7.1 włącznie.

W podatności CVE-2025-52803 w systemie uxper Sala występuje brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji Sala od n/a do 1.1.3.

W podatności CVE-2025-52787 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych w systemie rezerwacji kortów tenisowych EZiHosting, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji od n/a do 1.2.7 włącznie.