CVE Vulnerability Catalog

Podatność CVE-2025-54678 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w Easy Form Builder w wersjach od n/a do 3.8.15.

W podatności CVE-2025-54669 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji MapSVG. Problem dotyczy wersji MapSVG od n/a do poniżej 8.7.4.

W podatności CVE-2025-52720 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Super Store Finder dla WordPressa. Problem dotyczy wersji od n/a do 7.5 włącznie.

W podatności CVE-2025-49887 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości zdalnego wstrzykiwania kodu w WPFactory Product XML Feed Manager dla WooCommerce. Problem dotyczy wersji od n/a do 2.9.3 włącznie.

W podatności CVE-2025-49059 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce CleverReach® WP. Problem ten dotyczy wersji od n/a do 1.5.20 włącznie.

Podatność CVE-2025-48293 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem ten dotyczy wersji Geo Mashup od n/a do 1.13.16 włącznie.

W podatności CVE-2025-25174 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy rozszerzeń BeeTeam368 w wersjach od n/a do 1.9.4.

Podatność CVE-2025-24775 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Made I.T. Forms, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Forms od n/a do 2.9.0 włącznie.

Wtyczki WordPress 'disable-right-click-powered-by-pixterme' w wersji 1.2 oraz 'pixter-image-digital-license' w wersji 1.0 ładują skompromitowany plik JavaScript z porzuconego zasobnika S3. Plik ten może być użyty jako tylne drzwi przez osoby, które go kontrolują.

Podatność CVE-2025-55346 pozwala na wykorzystanie kontrolowanego przez użytkownika wejścia do niebezpiecznej implementacji dynamicznego konstruktora funkcji. Umożliwia to atakującym sieciowym uruchomienie dowolnego kodu JavaScript bez piaskownicy w kontekście hosta, poprzez wysłanie prostego żądania POST.

Sysax Multi Server versions prior to 5.55 contain a stack-based buffer overflow in its SSH service. A remote attacker can supply an overly long username during authentication, leading to remote code execution.

Spreecommerce versions prior to 0.60.2 contains a remote command execution vulnerability in its search functionality. The application fails to properly sanitize input passed via the search[send][] parameter, which is dynamically invoked using Ruby’s send method, allowing unauthenticated attackers to execute arbitrary shell commands.

Na urządzeniach KuWFi GC111 GC111-GL-LM321_V3.0_20191211 odkryto problem związany z usługą TELNET, która jest domyślnie włączona i dostępna przez interfejs WAN bez uwierzytelnienia.

Urządzenia Shenzhen Tuoshi NR500-EA RG500UEAABxCOMSLICv3.4.2731.16.43 mają domyślnie włączoną usługę SSH. Istnieje ukryte, twardo zakodowane konto root, którego nie można wyłączyć w interfejsie graficznym.

Wersje Studio 3T do 2025.1.0 zawierają lukę, która umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w module child_process.

In TOTOLINK EX1200T firmware version 4.1.2cu.5215, a vulnerability allows login bypass by sending a crafted request to formLoginAuth.htm.

W systemie zarządzania szpitalem Danphe Health EMR w wersji 3.2 odkryto problem w pliku SecuritySettingsController.cs, który umożliwia atakującym zresetowanie hasła dowolnego konta.

In TOTOLINK A7000R firmware version 9.1.0u.6115_B20201022, a vulnerability allows login bypass. An attacker can send a crafted request to formLoginAuth.htm to gain unauthorized access.

W podatności CVE-2025-50251 występuje luka typu server side request forgery (SSRF) w wersji 0.23.1 aplikacji makeplane, która może być wykorzystana poprzez proces odzyskiwania hasła.

Zidentyfikowano podatność w INSTAR 2K+ i 4K w wersji 3.11.1 Build 1124, która dotyczy funkcji base64_decode komponentu fcgi_server. Manipulacja argumentem Authorization prowadzi do przepełnienia bufora, co umożliwia zdalne przeprowadzenie ataku.