Katalog podatności CVE

Wtyczka DASHBOARD BUILDER – WordPress plugin dla wykresów i diagramów jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 1.5.7. Brak walidacji nonce w handlerze ustawień umożliwia nieautoryzowanym atakującym modyfikację przechowywanego zapytania SQL oraz danych uwierzytelniających bazy danych.

Wtyczka GetContentFromURL dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do 1.0 włącznie. Problem wynika z użycia funkcji wp_remote_get() zamiast wp_safe_remote_get() do pobierania treści z URL dostarczonego przez użytkownika.

Podatność typu double free w module wejścia wielotrybowego. Udane wykorzystanie może wpłynąć na funkcję wejścia.

Podatność CVE-2025-68960 dotyczy modułu frameworka wideo i wynika z wyścigu (race condition) w środowisku wielowątkowym. Udane wykorzystanie tej luki może wpłynąć na dostępność systemu.

Podatność typu wyścig (race condition) w module frameworku kart, występująca w środowisku wielowątkowym. Udane wykorzystanie podatności może wpłynąć na dostępność systemu.

Podatność typu wyścig (race condition) w module frameworku kart, występująca w środowisku wielowątkowym. Udane wykorzystanie podatności może wpłynąć na dostępność systemu.

Podatność typu wyścig (race condition) w module frameworku kart, występująca w środowisku wielowątkowym. Udane wykorzystanie podatności może wpłynąć na dostępność systemu.

Podatność typu wyścig (race condition) w module frameworku kart, występująca w środowisku wielowątkowym. Udane wykorzystanie podatności może wpłynąć na dostępność systemu.

Sterowniki w pakietach narzędzi wykorzystują flagę RTL_QUERY_REGISTRY_DIRECT do odczytu wartości rejestru, co może prowadzić do przepełnienia bufora przez niezaufaną aplikację działającą w trybie użytkownika.

Sterowniki w pakietach narzędzi wykorzystują flagę RTL_QUERY_REGISTRY_DIRECT do odczytu wartości rejestru, co może prowadzić do przepełnienia bufora przez nieufną aplikację działającą w trybie użytkownika.

Sterowniki w pakietach narzędzi wykorzystują flagę RTL_QUERY_REGISTRY_DIRECT do odczytu wartości rejestru, co może prowadzić do przepełnienia bufora przez niezaufaną aplikację działającą w trybie użytkownika.

Sterowniki w pakietach narzędzi wykorzystują flagę RTL_QUERY_REGISTRY_DIRECT do odczytu wartości rejestru, co może prowadzić do przepełnienia bufora przez nieufną aplikację działającą w trybie użytkownika.

WorkOrder CMS w wersji 0.1.0 zawiera podatność na wstrzykiwanie SQL, która umożliwia nieautoryzowanym atakującym ominięcie logowania poprzez manipulację parametrami nazwy użytkownika i hasła. Atakujący mogą wstrzykiwać złośliwe zapytania SQL, aby uzyskać dostęp do informacji w bazie danych lub wykonywać polecenia administracyjne.

Tftpd32 SE w wersji 4.60 zawiera podatność na niecytowaną ścieżkę usługi, która umożliwia lokalnym atakującym potencjalne wykonanie dowolnego kodu z podwyższonymi uprawnieniami. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia złośliwych plików wykonywalnych, które będą uruchamiane z uprawnieniami systemowymi.

Mediconta w wersji 3.7.27 zawiera podatność na niecytowaną ścieżkę usługi w servermedicontservice, co pozwala lokalnym użytkownikom na potencjalne wykonanie kodu z podwyższonymi uprawnieniami. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia złośliwego kodu, który zostanie uruchomiony z uprawnieniami LocalSystem podczas uruchamiania usługi.

Wtyczka Social-Share-Buttons w wersji 2.2.3 zawiera krytyczną podatność na wstrzykiwanie SQL w parametrze project_id, co pozwala atakującym na manipulację zapytaniami do bazy danych. Wykorzystując tę podatność, atakujący mogą wysyłać spreparowane żądania POST z złośliwymi ładunkami SQL, aby uzyskać dostęp do zawartości całej bazy danych.

Outline 1.6.0 zawiera podatność na niecytowaną ścieżkę usługi, która pozwala lokalnym atakującym na potencjalne wykonanie dowolnego kodu z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać tę podatność w pliku wykonywalnym OutlineService do wstrzyknięcia złośliwego kodu, który zostanie uruchomiony z uprawnieniami LocalSystem.

Cveo HotKey Clipboard w wersji 2.1.0.6 zawiera podatność na niecytowaną ścieżkę usługi w serwisie HKClipSvc, co pozwala lokalnym użytkownikom bez uprawnień na potencjalne wykonanie kodu z uprawnieniami systemowymi. Atakujący mogą wykorzystać błędnie skonfigurowaną ścieżkę usługi do wstrzykiwania i wykonywania dowolnego kodu.

Krytyczna podatność w e107 CMS w wersji 3.2.1 umożliwia uwierzytelnionym administratorom nadpisywanie dowolnych plików serwera poprzez path traversal w funkcji zdalnego przesyłania plików w Menedżerze multimediów (image.php). Parametr upload_caption nie jest odpowiednio sanityzowany, co pozwala na użycie sekwencji typu ../../../ w celu nadpisania plików poza katalogiem docelowym. Może to prowadzić do całkowitego przejęcia aplikacji webowej.

CONTPAQi AdminPAQ w wersji 14.0.0 zawiera podatność na niecytowaną ścieżkę usługi w serwisie AppKeyLicenseServer, który działa z uprawnieniami LocalSystem. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia złośliwego kodu w ścieżkę binarną usługi, co może prowadzić do wykonania dowolnego kodu z podwyższonymi uprawnieniami systemowymi podczas uruchamiania usługi.