Katalog podatności CVE

W systemie zarządzania żywnością dla uchodźców w wersji 1.0 odkryto lukę bezpieczeństwa. Problem dotyczy nieznanej funkcji w pliku /home/pagenateRefugeesList.php, gdzie manipulacja argumentem rfid prowadzi do wstrzyknięcia SQL.

Wtyczka Plugin Organizer dla WordPressa w wersjach przed 10.2.4 nie sanitizuje i nie ucieka parametru przed użyciem go w zapytaniu SQL, co pozwala subskrybentom na przeprowadzenie ataków typu SQL injection.

Zidentyfikowano podatność w systemie zarządzania studentami itsourcecode w wersji 1.0. Nieznana funkcja w pliku /statistical.php umożliwia manipulację argumentem ID, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.

W systemie zamówień online itsourcecode Cake Ordering System w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanej funkcji pliku /detailtransac.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL.

W systemie zamawiania ciast online itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcji pliku /updatesupplier.php?action=edit. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL.

W systemie zamówień online itsourcecode Cake Ordering System w wersji 1.0 odkryto podatność. Problem dotyczy nieznanej funkcji w pliku /updatecustomer.php?action=edit, gdzie manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.

W urządzeniu Tenda WH450 w wersji 1.0.0.18 odkryto lukę bezpieczeństwa, która dotyczy nieznanej części pliku /goform/SafeMacFilter. Manipulacja argumentem strony prowadzi do przepełnienia bufora na stosie.

Podatność CVE-2025-15067 w Innorix WP umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wszystkich wersji Innorix WP, jeśli w katalogu instalacyjnym produktu istnieje katalog 'exam'.

W urządzeniu Tenda WH450 w wersji 1.0.0.18 zidentyfikowano podatność, która dotyczy nieznanej funkcjonalności pliku /goform/RouteStatic. Manipulacja argumentem 'page' może prowadzić do przepełnienia bufora na stosie, co może być wykorzystane przez atakującego zdalnie.

W urządzeniu Tenda WH450 w wersji 1.0.0.18 odkryto podatność, która dotyczy nieznanej funkcji pliku /goform/PPTPUserSetting. Manipulacja argumentem delno prowadzi do przepełnienia bufora na stosie.

Zidentyfikowano podatność w phpok3w, która dotyczy nieznanej funkcji w pliku show.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie saiftheboss7 onlinemcqexam do wersji 0e56806132971e49721db3ef01868098c7b42ada zidentyfikowano podatność w pliku /admin/quesadd.php. Manipulacja argumentami ans1/ans2 prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie FantasticLBP Hotels_Server zidentyfikowano podatność, która dotyczy nieznanej funkcjonalności pliku /controller/api/Room.php. Manipulacja argumentem hotelId prowadzi do możliwości wykonania ataku typu SQL injection, który może być przeprowadzony zdalnie.

Wykryto lukę w jackq XCMS do wersji 3fab5342cc509945a7ce1b8ec39d19f701b89261, która dotyczy nieznanej funkcji w pliku Public/javascripts/admin/plupload-2.1.2/examples/upload.php. Manipulacja ta umożliwia nieograniczone przesyłanie plików.

W telefonie Yealink T21P_E2 w wersji 52.84.0.15 wykryto podatność umożliwiającą zdalnemu atakującemu z normalnymi uprawnieniami wykonanie dowolnego kodu poprzez spreparowane żądanie do funkcji ping w komponencie diagnostycznym.

W wyniku niebezpiecznego ładowania bibliotek w oprogramowaniu Eaton UPS Companion, atakujący z dostępem do pakietu oprogramowania może wykonać dowolny kod. Problem bezpieczeństwa został naprawiony w najnowszej wersji EUC dostępnej w centrum pobierania Eaton.

Nieprawidłowa autoryzacja plików bibliotecznych w instalatorze oprogramowania Eaton UPS Companion może prowadzić do wykonania dowolnego kodu przez atakującego mającego dostęp do pakietu oprogramowania. Problem bezpieczeństwa został naprawiony w najnowszej wersji EUC dostępnej w centrum pobierania Eaton.

Zidentyfikowano podatność w simstudioai sim do wersji 0.5.27, która dotyczy nieznanego kodu w pliku apps/sim/lib/auth/internal.ts komponentu CRON Secret Handler. Manipulacja argumentem INTERNAL_API_SECRET prowadzi do niewłaściwej autoryzacji, co umożliwia zdalne przeprowadzenie ataku.

W Alteryx Server zidentyfikowano podatność, która dotyczy nieznanej funkcjonalności pliku /gallery/api/status/. Manipulacja tym plikiem prowadzi do niewłaściwej autoryzacji, co umożliwia zdalne przeprowadzenie ataku.

W podatności CVE-2025-2406 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Trizbi, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem dotyczy wersji Trizbi przed 2.144.4.