CVE Vulnerability Catalog

Podatność CVE-2025-67996 dotyczy deserializacji niezaufanych danych w wtyczce BoldThemes Nestin, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Nestin od n/a do poniżej 1.2.6.

Podatność CVE-2025-67995 dotyczy deserializacji niezaufanych danych w aplikacji LoftOcean PatioTime, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji PatioTime od n/a do poniżej 2.1.

W podatności CVE-2025-67979 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w wtyczce WesternDeal WPForms Google Sheet Connector w wersjach od n/a do 4.0.1. Problem ten może umożliwić atakującym wykonanie nieautoryzowanego kodu.

The vulnerability in the Tassos Framework plugin concerns handling of AJAX requests through Joomla's com_ajax entry point. Under certain conditions, internal framework functionality could be invoked without proper restriction.

W podatności CVE-2025-10970 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w oprogramowaniu Talentics firmy Kolay Software Inc. Problem ten dotyczy wersji Talentics do 20022026.

LibreNMS to narzędzie do monitorowania sieci oparte na PHP/MySQL/SNMP, które w wersjach 25.12.0 i poniżej zawiera podatność na wstrzykiwanie SQL w punkcie końcowym ajax_table.php. Aplikacja nieprawidłowo sanitizuje lub parametryzuje dane wejściowe użytkownika podczas przetwarzania wyszukiwań adresów IPv6, co umożliwia atakującemu wstrzyknięcie dowolnych poleceń SQL.

Ghost is a Node.js content management system. Versions 3.24.0 through 6.19.0 allow unauthenticated attackers to perform arbitrary reads from the database.

Slyde to program do tworzenia animowanych prezentacji z XML. W wersjach 0.0.4 i poniżej, Node.js automatycznie importuje pliki **/*.plugin.{js,mjs}, co pozwala na wykonanie dowolnego kodu przez złośliwe pakiety zawierające plik .plugin.js podczas instalacji lub użycia.

Podatność CVE-2025-30416 dotyczy ujawnienia i manipulacji wrażliwymi danymi z powodu braku autoryzacji. Affected są produkty Acronis Cyber Protect 16 (Linux, Windows) przed wersją 39938 oraz Acronis Cyber Protect 15 (Linux, Windows) przed wersją 41800.

Podatność CVE-2025-30412 dotyczy ujawnienia i manipulacji wrażliwymi danymi z powodu niewłaściwej autoryzacji. Affected są produkty Acronis Cyber Protect 16 (Linux, Windows) przed wersją 39938 oraz Acronis Cyber Protect 15 (Linux, Windows) przed wersją 41800.

Podatność CVE-2025-30411 dotyczy ujawnienia i manipulacji wrażliwymi danymi z powodu niewłaściwej autoryzacji. Affected są produkty Acronis Cyber Protect 16 (Linux, Windows) przed wersją 39938 oraz Acronis Cyber Protect 15 (Linux, Windows) przed wersją 41800.

Brak autoryzacji w produktach Acronis Cyber Protect Cloud Agent oraz Acronis Cyber Protect 15 i 16 umożliwia ujawnienie i manipulację wrażliwymi danymi. Dotyczy to wersji przed określonymi buildami dla systemów Linux, macOS i Windows.

OpenClaw to osobisty asystent AI, który przed wersją 2026.2.15 miał problem z wstrzykiwaniem konfiguracji w narzędziu Docker, co mogło pozwolić na zastosowanie niebezpiecznych opcji Docker, umożliwiając ucieczkę z kontenera lub dostęp do danych hosta. W wersji 2026.2.15 wprowadzono blokady niebezpiecznych ustawień Docker w sandboxie oraz walidację schematu konfiguracji.

RustFly w wersji 2.0.0 zawiera podatność na wstrzykiwanie poleceń w swoim zdalnym mechanizmie kontroli UI, który akceptuje instrukcje zakodowane w formacie hex przez port UDP 5005 bez odpowiedniej sanitizacji. Atakujący mogą wysyłać spreparowane ładunki hex, które zawierają polecenia systemowe do wykonania dowolnych operacji na docelowym systemie.

W RUCKUS Network Director (RND) w wersjach poniżej 4.5.0.56, urządzenie OVA zawiera hardkodowane klucze SSH dla użytkownika postgres. Klucze te są identyczne we wszystkich wdrożeniach, co umożliwia atakującemu z dostępem do sieci uwierzytelnienie się przez SSH bez hasła.

W Ruckus Network Director (RND) w wersjach poniżej 4.5.0.54, urządzenie OVA zawiera zakodowane na stałe dane uwierzytelniające dla użytkownika bazy danych PostgreSQL. W domyślnej konfiguracji usługa PostgreSQL jest dostępna w sieci na porcie TCP 5432.

SQL injection vulnerability in Delinea Cloud Suite before 25.2 HF1 allows argument injection. The issue is due to improper neutralization of special elements in an SQL command.

A vulnerability in Hyland Alfresco Transformation Service allows unauthenticated attackers to achieve remote code execution through argument injection in the document processing functionality.

A vulnerability in Hyland Alfresco Transformation Service allows unauthenticated attackers to perform Server-Side Request Forgery (SSRF) through the document processing functionality.

SDK Semantic Kernel firmy Microsoft, w wersjach przed 1.39.4, ma podatność na zdalne wykonanie kodu w funkcjonalności filtra `InMemoryVectorStore`. Problem został naprawiony w wersji `python-1.39.4`.