Katalog podatności CVE

W podatności CVE-2025-68061 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy wersji EduMall od n/a do 4.4.7.

Podatność CVE-2025-68056 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w wtyczce LBG Zoominoutslider, co umożliwia atak typu SQL Injection. Problem ten dotyczy wersji wtyczki od n/a do 5.4.4 włącznie.

W podatności CVE-2025-68055 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w aplikacji Themefic Hydra Booking. Problem dotyczy wersji Hydra Booking od n/a do 1.1.32 włącznie.

W podatności CVE-2025-68054 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji CountDown With Image or Video Background w wersjach od n/a do 1.5.

W podatności CVE-2025-68053 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do ataku typu Blind SQL Injection w aplikacji LambertGroup xPromoter. Problem dotyczy wersji xPromoter od n/a do 1.3.4 włącznie.

Podatność CVE-2025-67999 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w systemie Newsletter autorstwa Stefano Lissy. Problem ten dotyczy wersji Newsletter od n/a do 9.0.9 włącznie.

Wtyczka AIOSEO Broken Link Checker zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 1.2.6.

W podatności CVE-2025-67950 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce All In One SEO Pack w wersjach do 4.9.1.

W SEIKO EPSON Web Config występuje podatność typu przepełnienie bufora na stosie. Specjalnie przygotowane dane wprowadzone przez zalogowanego użytkownika mogą prowadzić do wykonania dowolnego kodu.

Podatność związana z niewłaściwą kontrolą dostępu w sterowniku Advantech SUSI (susi.sys) umożliwia atakującym odczyt/zapis dowolnej pamięci, portów I/O oraz MSR, co prowadzi do eskalacji uprawnień, wykonania dowolnego kodu oraz ujawnienia informacji. Problem dotyczy wersji Advantech SUSI: 5.0.24335 i wcześniejszych.

Złośliwie spreparowany plik MODEL, przetwarzany przez niektóre produkty Autodesk, może wywołać podatność zapisu poza granicami bufora (Out-of-Bounds Write). Atakujący może wykorzystać tę podatność do wywołania awarii, uszkodzenia danych lub wykonania dowolnego kodu w kontekście bieżącego procesu.

Złośliwie spreparowany plik CATPRODUCT, przetwarzany przez niektóre produkty Autodesk, może wywołać podatność przepełnienia sterty (Heap-Based Overflow). Atakujący może wykorzystać tę podatność do wywołania awarii, odczytu wrażliwych danych lub wykonania dowolnego kodu w kontekście bieżącego procesu.

Wtyczka edytora dashboardów Pentaho Data Integration i Analytics w wersjach przed 10.2.0.4, w tym 9.3.0.x i 8.3.x, deserializuje nieufne dane JSON bez ograniczenia parsera do zatwierdzonych klas i metod.

Zomplog w wersji 3.9 zawiera podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym atakującym na wstrzykiwanie i wykonywanie dowolnego kodu PHP poprzez manipulację plikami. Atakujący mogą przesyłać pliki (np. JavaScript) i zmieniać ich nazwy na .php, a następnie wykonywać wynikowy ładunek PHP.

EDB Hybrid Manager zawiera lukę, która pozwala nieautoryzowanemu atakującemu na bezpośredni dostęp do niektórych punktów końcowych gRPC. Może to umożliwić atakującemu odczytanie potencjalnie wrażliwych danych lub spowodowanie odmowy usługi poprzez zapisanie nieprawidłowych danych do tych punktów końcowych.

W operatorze runtimes-inventory-rhel8-operator wykryto nieprawidłową konfigurację wewnętrznego komponentu proxy. Powoduje to, że proxy dołącza główne poświadczenia administracyjne klastra do każdego otrzymanego polecenia, zamiast tylko do określonych raportów, które powinno obsługiwać.

Problem bezpieczeństwa wynika z nieprawidłowego obsługiwania uszkodzonych pakietów CIP podczas testów fuzzingu. Sterownik przechodzi w twardy błąd (hard fault) z ciągłą czerwoną diodą Fault i staje się nieodpowiedzialny. Po cyklu zasilania sterownik przechodzi w błąd odzyskiwalny, gdzie diody MS i Fault migają na czerwono i zgłaszają kod błędu 0xF019. Aby odzyskać, należy wyczyścić błąd.

Problem bezpieczeństwa znaleziono w stosie IPv6 w sterownikach Micro850 i Micro870, gdy sterowniki otrzymały wiele uszkodzonych pakietów podczas testów fuzzingu. Sterowniki przechodzą w błąd odzyskiwalny z kodem błędu 0xFE60. Aby odzyskać sterownik, należy wyczyścić błąd.

Podatność typu Directory Traversal w systemie FNT Command 13.4.0 umożliwia nieautoryzowany dostęp do plików poza katalogiem głównym aplikacji. Atakujący może wykorzystać tę lukę do odczytu wrażliwych danych konfiguracyjnych lub systemowych.

FNT Command 13.4.0 zawiera podatność umożliwiającą wykonanie kodu przez moduł C Base. Atakujący może wykorzystać tę lukę do zdalnego wykonania dowolnego kodu w systemie.