CVE Vulnerability Catalog

Zidentyfikowano słabość w urządzeniu Tenda WH450 w wersji 1.0.0.18, która dotyczy nieznanej funkcji pliku /goform/onSSIDChange w komponencie obsługi żądań HTTP. Manipulacja argumentem ssid_index prowadzi do przepełnienia bufora na stosie.

Critical authentication bypass vulnerability in Ollama platform's API endpoints up to v0.12.3. Multiple API endpoints are exposed without authentication, allowing remote attackers to perform unauthorized model management operations.

CORS misconfiguration vulnerability in Dify v1.9.1 in the /console/api/system-features endpoint. The endpoint reflects arbitrary Origin headers and sets Access-Control-Allow-Credentials: true, allowing any external domain to make authenticated cross-origin requests. NOTE: The supplier disputes this, arguing that credentialed requests do not provide additional access compared to unauthenticated requests.

W Dify w wersji 1.9.1 występuje podatność związana z błędną konfiguracją CORS w punkcie końcowym /console/api/setup. Polityka CORS jest niebezpieczna, ponieważ odzwierciedla dowolny nagłówek Origin i umożliwia ustawienie Access-Control-Allow-Credentials: true, co pozwala na autoryzowane żądania z dowolnych zewnętrznych domen.

W urządzeniu Tenda WH450 w wersji 1.0.0.18 odkryto lukę bezpieczeństwa, która dotyczy nieznanej funkcji pliku /goform/wirelessRestart w komponencie obsługi żądań HTTP. Manipulacja argumentem GO prowadzi do przepełnienia bufora na stosie.

Vulnerability in WODESYS WD-R608U router (also known as WDR122B V2.0 and WDR28) due to lack of validation in the langGet parameter in the adm.cgi endpoint, allowing malicious attackers to execute system shell commands. The vendor was notified but did not respond; only version WDR28081123OV1.01 was tested and confirmed vulnerable.

W podatności CVE-2025-14860 występuje błąd use-after-free w komponencie API dostępu dla osób z niepełnosprawnościami. Problem ten został naprawiony w wersji Firefox 146.0.1.

A flaw in the binding process of Govee's cloud platform and devices allows a remote attacker to bind an existing, online Govee device to the attacker's account, resulting in full control of the device and removal of the device from its legitimate owner's account. The server-side API allows device association using a set of identifiers that are not cryptographically bound to a secret originating from the device itself. The vulnerability has been verified for the Govee H6056 lamp in firmware version 1.08.13, but may affect other Govee cloud-connected devices.

W podatności CVE-2025-66078 występuje niewłaściwa kontrola generowania kodu ('wstrzykiwanie kodu') w wtyczce Hotel Booking Lite, co pozwala na zdalne włączenie kodu. Problem dotyczy wersji Hotel Booking Lite od n/a do 5.2.3 włącznie.

W podatności CVE-2025-66074 wtyczka WP Webhooks w Cozmoslabs umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co prowadzi do ataków typu Path Traversal. Problem ten dotyczy wersji WP Webhooks od n/a do 3.3.8 włącznie.

Podatność CVE-2025-64374 w motywie Motors od StylemixThemes pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co może prowadzić do wykorzystania złośliwych plików. Problem dotyczy wersji Motors od n/a do 5.6.81 włącznie.

Podatność CVE-2025-64233 dotyczy deserializacji niezaufanych danych w Codiqa od BoldThemes, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach Codiqa od n/a do poniżej 1.2.8.

Podatność CVE-2025-64231 dotyczy wtyczki RedefiningTheWeb WordPress Contact Form 7 PDF, Google Sheet & Database, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach od n/a do 3.0.0 włącznie.

Podatność CVE-2025-64227 dotyczy deserializacji niezaufanych danych w systemie fakturowania BoldGrid od Sprout Invoices, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 20.8.7 włącznie.

Podatność na deserializację niezaufanych danych w TieLabs Jannah umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Jannah od n/a do 7.6.0 włącznie.

W podatności CVE-2025-64188 w PenciDesign Soledad występuje nieprawidłowe przypisanie uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji Soledad od n/a do 8.6.9 włącznie.

Deserialization of Untrusted Data vulnerability in CRM Perks WP Gravity Forms Salesforce plugin (gf-salesforce-crmperks) up to version 1.5.1, allowing Object Injection.

Deserialization of Untrusted Data vulnerability in CRM Perks WP Gravity Forms HubSpot plugin (gf-hubspot) up to version 1.2.6, allowing Object Injection.

Deserialization of Untrusted Data vulnerability in CRM Perks WP Gravity Forms Constant Contact plugin (gf-constant-contact) up to version 1.1.2, allowing Object Injection.

Deserialization of untrusted data vulnerability in WP Gravity Forms Zoho CRM and Bigin allows object injection. The issue affects versions up to and including 1.2.9.