Katalog podatności CVE

W podatności CVE-2025-22708 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Mitech od n/a do 2.3.4.

Podatność CVE-2025-22707 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w motywie ThemeMove Moody w wersjach od n/a do 2.7.3.

W podatności CVE-2025-22509 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne dołączanie plików. Problem ten dotyczy wersji Atlas od n/a do 2.1.0.

W podatności CVE-2025-14431 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji Navian od n/a do 1.5.4 włącznie.

W podatności CVE-2025-14430 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w ThemeMove Brook. Problem dotyczy wersji Brook od n/a do 2.9.0.

W podatności CVE-2025-14429 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie AeroLand w wersjach od n/a do 1.6.6. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

W Kaira Blockons występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji Blockons od n/a do 1.2.19 włącznie.

Podatność CVE-2025-14359 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików w Oshine. Problem ten występuje w wersjach Oshine przed 7.3.0.

W frameworku REHub występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji frameworka od n/a do 19.9.5 włącznie.

Podatność CVE-2025-13504 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce e-plugins Real Estate Pro, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Real Estate Pro od n/a do 2.1.4 włącznie.

Podatność CVE-2025-12551 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w e-plugins ListingHub, co prowadzi do możliwości ataków typu Reflected XSS. Problem ten dotyczy wersji ListingHub od n/a do 1.2.6.

W podatności CVE-2025-12550 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne włączenie pliku PHP. Problem dotyczy wersji OchaHouse od n/a do 2.2.8.

W podatności CVE-2025-12549 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w aplikacji Rozy - Flower Shop w wersjach do 1.2.25.

W systemie zarządzania członkostwem Intern Membership Management System 1.0 zidentyfikowano podatność. Manipulacja argumentem 'Username' w pliku /intern/admin/check_admin.php może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.

Instalatory wielu produktów dostarczanych przez PIONEER CORPORATION zawierają problem z ścieżką wyszukiwania DLL, co może prowadzić do niebezpiecznego ładowania dynamicznych bibliotek. W efekcie, może zostać wykonany dowolny kod z uprawnieniami uruchamiającego instalatora.

Greenshot w wersjach 1.3.310 i niższych jest podatny na wstrzykiwanie poleceń systemu operacyjnego przez nieprzetworzone nazwy plików. Metoda FormatArguments w ExternalCommandDestination.cs:269 używa string.Format() do wstawiania nazw plików kontrolowanych przez użytkownika bezpośrednio do poleceń powłoki bez sanityzacji, co pozwala atakującym na wykonanie dowolnych poleceń przez złośliwe nazwy plików zawierające metaznaki powłoki. Problem naprawiono w wersji 1.3.311.

Flag Forge w wersjach 2.3.2 i niższych ma podatność ReDoS (Regular Expression Denial of Service) w punkcie API profilu użytkownika (/api/user/[username]). Aplikacja dynamicznie konstruuje wyrażenie regularne z nieucieczonego wejścia użytkownika (parametr username). Atakujący może wykorzystać to, wysyłając specjalnie spreparowaną nazwę użytkownika zawierającą metaznaki regex (np. głęboko zagnieżdżone grupy lub kwantyfikatory), co powoduje nadmierne zużycie CPU przez silnik regex MongoDB. Może to prowadzić do odmowy usługi dla innych użytkowników. Problem naprawiono w wersji 2.3.3. Obejściem jest wdrożenie reguł WAF blokujących żądania z metaznakami regex w ścieżce URL.

W bibliotece llama.cpp, parametr n_discard jest parsowany bez walidacji z wejścia JSON w punktach końcowych serwera. W przypadku podania wartości ujemnej, może to prowadzić do zapisów pamięci poza dozwolonym zakresem, co skutkuje uszkodzeniem pamięci i potencjalnym zdalnym wykonaniem kodu.

INIM Electronics Smartliving SmartLAN/G/SI w wersjach do 6.x zawiera twardo zakodowane dane logowania w swoim obrazie systemu Linux, które nie mogą być zmieniane w normalny sposób. Atakujący mogą wykorzystać te trwałe dane logowania do uzyskania nieautoryzowanego dostępu do systemu na różnych modelach urządzeń SmartLiving.

SmartLiving SmartLAN w wersjach do 6.x zawiera podatność na zdalne wstrzykiwanie poleceń, która wymaga uwierzytelnienia. Wykorzystując parametr 'par' w żądaniu POST w module 'testemail', atakujący mogą wykonać dowolne polecenia systemowe z uprawnieniami roota.