CVE Vulnerability Catalog

Pterodactyl to darmowy, otwartoźródłowy panel zarządzania serwerami gier. Przed wersją 1.11.11, wykorzystując /locales/locale.json z parametrami zapytania locale i namespace, złośliwy aktor mógł wykonać dowolny kod bez uwierzytelnienia.

W routerach H3C ER2200G2, ERG2-450W, ERG2-1200W, ERG2-1350W, NR1200W oraz innych wymienionych serii przed określonymi wersjami oprogramowania występują liczne podatności na zdalne wykonanie nieautoryzowanych poleceń. Atakujący mogą obejść uwierzytelnianie, wprowadzając specjalnie skonstruowany tekst w URL lub nagłówku wiadomości, co pozwala na wstrzyknięcie złośliwych poleceń i uzyskanie najwyższych uprawnień ROOT na zdalnych urządzeniach.

W podatności CVE-2025-4738 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w oprogramowaniu Yirmibes MY ERP w wersjach przed 1.170.

Biblioteka pgai w Pythonie, służąca do przekształcania PostgreSQL w silnik wyszukiwania dla aplikacji RAG i Agentic, była podatna na atak umożliwiający wyciek wszystkich sekretów używanych w jednym przepływie pracy. W szczególności, GITHUB_TOKEN z uprawnieniami do zapisu w repozytorium, co pozwalało atakującemu na manipulację wszystkimi aspektami repozytorium.

Versa Director exposes several services by default, including SSH and PostgreSQL, and uses default credentials for multiple accounts (most with sudo access). This allows attackers to easily gain access. Versa Networks is not aware of exploitation, but a proof of concept has been disclosed.

Platforma orkiestracji SD-WAN Versa Director, korzystająca z usługi aplikacyjnej Cisco NCS, ma podatność, która pozwala atakującemu na dostęp do usługi NCS na porcie 4566. Wersje dotknięte tą podatnością są związane z portami 4566 i 4570 na wszystkich interfejsach, co umożliwia nieautoryzowane działania administracyjne oraz zdalne wykonanie kodu.

An issue in EfroTech Time Trax v.1.0 allows a remote attacker to execute arbitrary code via the file attachment function in the leave request form.

In the Linux kernel, a race condition in the SCSI target iSCSI subsystem causes the NOPIN response timer to restart after connection deletion, leading to a NULL pointer dereference and system crash.

W wersjach KCM3100 Ver1.4.2 i wcześniejszych występuje podatność na obejście uwierzytelniania. W przypadku wykorzystania tej podatności, atakujący może ominąć proces uwierzytelniania produktu z poziomu sieci LAN, do której produkt jest podłączony.

Teleport, który zapewnia łączność, uwierzytelnianie, kontrolę dostępu i audyt dla infrastruktury, ma w wersjach Community Edition przed i w tym samym czasie co 17.5.1 podatność na zdalne obejście uwierzytelniania. W momencie publikacji nie ma dostępnej poprawki open-source.

W podatności CVE-2025-49452 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji PostaPanduri. Problem dotyczy wersji od n/a do 2.1.3.

Podatność CVE-2025-49447 w FW Food Menu od Fastw3b LLC pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia wykorzystanie złośliwych plików. Problem dotyczy wersji od n/a do 6.0.0.

Podatność CVE-2025-49444 dotyczy wtyczki Reformer dla Elementor, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2025-49330 dotyczy deserializacji niezaufanych danych w integracji CRM Perks dla Contact Form 7 i Zoho CRM, Bigin, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji integracji od n/a do 1.3.0 włącznie.

Podatność CVE-2025-49071 w motywie NasaTheme Flozen umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Flozen od n/a do poniżej 1.5.1.

Podatność CVE-2025-48274 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WP Job Portal w wersjach od n/a do 2.3.2.

W podatności CVE-2025-47573 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w systemie zarządzania szkołą mojoomla. Problem dotyczy wersji od n/a do 92.0.0.

Podatność CVE-2025-47559 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w MapSVG, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji MapSVG od n/a do poniżej 8.7.4.

Podatność CVE-2025-47452 w wtyczce WP VR pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji WP VR od n/a do 8.5.26.

Podatność CVE-2025-39479 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji Smart Notification. Problem ten dotyczy wersji Smart Notification od n/a do 10.3.