Katalog podatności CVE

Podatność CVE-2025-8463 dotyczy SecHard Information Technologies i pozwala na ominięcie autoryzacji poprzez klucz kontrolowany przez użytkownika, co umożliwia wymuszone przeglądanie. Problem ten dotyczy wersji SecHard przed 3.6.2-20250805.

Wykryto podatność na wstrzyknięcie SQL w itsourcecode Online Public Access Catalog OPAC 1.0 w pliku mysearch.php, gdzie argumenty search_field/search_text są nieprawidłowo obsługiwane, co pozwala na zdalny atak.

Podatność CVE-2025-0879 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Shopside, co umożliwia ataki typu Cross-Site Scripting (XSS). Wymaga ona wysokich uprawnień do wykorzystania.

Motyw Sydney dla WordPressa (wersje do 2.56 włącznie) nie sprawdza uprawnień w funkcji 'activate_modules'. Uwierzytelniony atakujący z rolą Subscriber lub wyższą może włączać i wyłączać moduły motywu.

Podatność CVE-2025-0546 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu MevzuatTR, co prowadzi do możliwości ataków XSS, phishingu, nakładania iFrame, clickjackingu oraz wymuszonego przeglądania. Wymaga to wysokich uprawnień.

W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność Cross-Site Scripting (XSS) w pliku /intranet/educar_usuario_det.php. Poprzez manipulację argumentem ref_pessoa atakujący może wstrzyknąć złośliwy skrypt. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.

W Paraşüt Software występuje podatność na Cross-Site Scripting (XSS) spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od 0.0.0.65efa44e do 20250204.

Podatność CVE-2025-0419 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Zirve Nova, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji od 235 do 20250131.

Wtyczka Media Player Addons for Elementor dla WordPressa w wersji 1.0.5 jest podatna na trwały atak XSS poprzez parametry 'subtitle_ssize', 'track_title' i 'track_artist_name'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony.

W aplikacji do zarządzania zasilaczami UPS firmy OMRON SOCIAL SOLUTIONS występuje podatność CWE-428 polegająca na braku ujęcia ścieżek plików wykonywalnych usług Windows w cudzysłowy. Jeśli ścieżka instalacji zawiera spacje, możliwe jest wykonanie nieautoryzowanych plików z uprawnieniami usługi.

Wtyczka Archiver dla WordPressa (The Hack Repair Guy's Plugin Archiver) w wersjach do 2.0.4 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji bulk_remove(). Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnego katalogu w /wp-content poprzez sfałszowane żądanie.

Wtyczka Memberlite Shortcodes dla WordPressa (wersje do 1.4 włącznie) jest podatna na przechowywany XSS poprzez shortcode 'row'. Brak wystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych pozwala na wstrzyknięcie skryptów.

Wtyczka User Sync – Remote User Sync dla WordPressa jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.0.2 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji mo_user_sync_form_handler(). Umożliwia to nieuwierzytelnionym atakującym dezaktywację wtyczki poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora witryny do wykonania akcji, np. kliknięcia linku.

Wtyczka USS Upyun dla WordPress jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.5.0 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji uss_setting_page podczas przetwarzania formularza uss_set. Nieuwierzytelniony atakujący może zmodyfikować krytyczne ustawienia Upyun, takie jak nazwa bucketu, dane operatora, ścieżki uploadu i parametry przetwarzania obrazów, poprzez sfałszowane żądanie, jeśli nakłoni administratora do kliknięcia linku.

Wtyczka Productive Style dla WordPressa do wersji 1.1.23 włącznie jest podatna na trwały atak XSS poprzez shortcode display_productive_breadcrumb. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.

W produktach NEC Corporation UNIVERGE IX (wersje od 9.5 do 10.7, od 10.8.21 do 10.8.36, od 10.9.11 do 10.9.24, od 10.10.21 do 10.10.31, 10.11.6) oraz UNIVERGE IX-R/IX-V (wersje 1.3.16, 1.3.21) występuje podatność Cross-Site Scripting (XSS). Atakujący może wstrzyknąć dowolne skrypty, które mogą zostać wykonane w przeglądarce użytkownika.

Wtyczka Social Media Shortcodes dla WordPressa do wersji 1.3.1 włącznie jest podatna na trwały atak XSS poprzez shortcode 'twitter'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.

Wtyczka Developer Loggers for Simple History dla WordPressa jest podatna na lokalne dołączanie plików we wszystkich wersjach do 0.5 włącznie, poprzez parametr enabled_loggers. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyższym dołączanie i wykonywanie dowolnych plików .php na serwerze, co pozwala na wykonanie dowolnego kodu PHP w tych plikach. Może to służyć do obejścia kontroli dostępu, uzyskania wrażliwych danych lub osiągnięcia wykonania kodu w przypadkach, gdy pliki .php mogą być przesłane i dołączone.

Podatność na atak XSS w pliku search-autootaxi.php aplikacji ATSMS. Brak odpowiedniej sanityzacji danych wejściowych umożliwia wstrzyknięcie złośliwego kodu JavaScript, który jest przechowywany w backendzie i wykonywany podczas przeglądania raportu.

W systemie Human Resource Integrated System 1.0 od code-projects wykryto podatność na atak XSS w sekcji dodawania informacji o dziecku, w polu Childs Name. Umożliwia ona wstrzyknięcie złośliwego skryptu, który może zostać wykonany w przeglądarce administratora.