Katalog podatności CVE

W podatności CVE-2025-69342 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Calafate od n/a do 1.7.7.

W podatności CVE-2025-69086 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie jwsthemes Issabella w wersjach od n/a do 1.1.2.

W podatności CVE-2025-69085 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w e-plugins JobBank. Problem ten dotyczy wersji JobBank od n/a do 1.2.2 włącznie.

Podatność CVE-2025-69084 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce gt3-photo-video-gallery. Problem ten dotyczy wersji od n/a do 2.7.7.26 włącznie.

W podatności CVE-2025-69083 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Elated-Themes Frappé w wersjach od n/a do 1.8. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Podatność na deserializację niezaufanych danych w DZS Video Gallery umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji DZS Video Gallery od n/a do 12.25.

Dell Unisphere for PowerMax w wersjach 9.2.4.x zawiera podatność polegającą na nieprawidłowym ograniczeniu odniesień do zewnętrznych encji XML (XXE). Osoba atakująca z niskimi uprawnieniami i zdalnym dostępem może wykorzystać tę lukę, co prowadzi do nieautoryzowanego dostępu do danych i zasobów poza zamierzonym obszarem kontroli.

W podatności CVE-2024-30547 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce Shazdeh Header Image Slider, co prowadzi do ataków typu XSS (Cross-site Scripting). Problem ten dotyczy wersji wtyczki od n/a do 0.3.

W urządzeniu Tenda AC23 w wersji 16.03.07.52 wykryto podatność związaną z funkcją sscanf w pliku /goform/PowerSaveSet. Manipulacja argumentem Time może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

DwyerOmega Isensix Advanced Remote Monitoring System (ARMS) w wersji 1.5.7 zawiera podatność na ślepą iniekcję SQL w parametrze user na stronie logowania. Umożliwia to atakującemu odczytanie wrażliwych informacji z bazy danych SQL, w tym poświadczeń użytkowników i administratorów, które mogą być przechowywane w postaci jawnego tekstu.

AirVPN Eddie na MacOS zawiera niebezpieczną usługę XPC, która pozwala lokalnym, nieuprzywilejowanym użytkownikom na eskalację swoich uprawnień do poziomu roota. Problem dotyczy wersji Eddie: 2.24.6.

Podatność w Sony BRAVIA Digital Signage 1.7.8 umożliwia nieuwierzytelnionym atakującym dostęp do wrażliwych informacji systemowych poprzez publiczne endpointy API. Atakujący mogą pobrać dane o interfejsach sieciowych, konfiguracji serwera oraz metadane systemu.

System RED-V Super Digital Signage w wersji 5.1.1 zawiera podatność na ujawnienie informacji, która pozwala nieautoryzowanym atakującym na dostęp do wrażliwych plików dziennika serwera WWW. Atakujący mogą odwiedzać różne punkty końcowe, aby uzyskać dostęp do zasobów systemowych i informacji z dzienników debugowania bez konieczności uwierzytelnienia.

System cyfrowego oznakowania iDS6 DSSPro w wersji 6.2 zawiera lukę w kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na podniesienie uprawnień za pomocą funkcji JavaScript w konsoli. Atakujący mogą tworzyć użytkowników, modyfikować role i uprawnienia, a w konsekwencji przejąć pełną kontrolę nad aplikacją.

System cyfrowego oznakowania iDS6 DSSPro w wersji 6.2 zawiera podatność na ujawnienie wrażliwych informacji, która umożliwia zdalnym atakującym przechwycenie danych uwierzytelniających poprzez transmisję ciasteczek w postaci niezaszyfrowanej. Funkcja autoSave może być wykorzystana do przechwytywania haseł użytkowników podczas ataków typu man-in-the-middle na komunikację HTTP.

TDM Digital Signage PC Player w wersji 4.1.0.4 zawiera podatność na podniesienie uprawnień, która pozwala uwierzytelnionym użytkownikom na modyfikację plików wykonywalnych. Atakujący mogą wykorzystać uprawnienia 'Modyfikuj' dla uwierzytelnionych użytkowników, aby zastąpić pliki wykonywalne złośliwymi binariami i uzyskać podwyższone uprawnienia systemowe.

Adtec Digital SignEdje Digital Signage Player w wersji 2.08.28 zawiera wiele twardo zakodowanych domyślnych poświadczeń, które umożliwiają nieautoryzowany zdalny dostęp do interfejsów webowych, telnet i SSH. Atakujący mogą wykorzystać te poświadczenia do uzyskania dostępu na poziomie roota i wykonywania poleceń systemowych w różnych wersjach produktów Adtec Digital.

QiHang Media Web Digital Signage w wersji 3.0.9 zawiera podatność na ujawnienie wrażliwych informacji, która pozwala zdalnym atakującym na przechwycenie danych uwierzytelniających użytkowników poprzez przesyłanie ciasteczek w postaci niezaszyfrowanej. Atakujący mogą przeprowadzać ataki typu man-in-the-middle, aby przechwycić i potencjalnie nadużyć zapisanych danych uwierzytelniających.

Cayin Signage Media Player 3.0 zawiera podatność na zdalne wstrzykiwanie poleceń z autoryzacją w stronach system.cgi i wizard_system.cgi. Atakujący mogą wykorzystać parametr 'NTP_Server_IP' przy użyciu domyślnych danych logowania do wykonywania dowolnych poleceń powłoki jako root.

Aerohive HiveOS zawiera podatność na odmowę usługi w interfejsie NetConfig UI, która pozwala nieautoryzowanym atakującym na unieruchomienie interfejsu webowego. Atakujący mogą wysłać spreparowane żądanie HTTP do skryptu action.php5 z określonymi parametrami, co prowadzi do 5-minutowej przerwy w działaniu usługi.