Katalog podatności CVE

W systemie CMS 1.0 firmy SourceCodester zidentyfikowano podatność, która dotyczy nieznanego kodu w pliku /admin/index.php. Manipulacja argumentem 'Username' prowadzi do wstrzykiwania SQL.

Wykryto podatność w systemie CMS firmy SourceCodester Company Website w wersji 1.0, która dotyczy nieznanej części pliku /admin/reset-password.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL, co może być wykorzystane zdalnie.

W systemie głosowania online Campcodes w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /registeracc.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

Nieprawidłowe domyślne uprawnienia w AMD StoreMI™ mogą umożliwić atakującemu uzyskanie podwyższonych uprawnień, co potencjalnie prowadzi do wykonania dowolnego kodu.

W podatności CVE-2024-21922 występuje problem z przechwytywaniem DLL w AMD StoreMI™, który może umożliwić atakującemu uzyskanie podwyższonych uprawnień, co potencjalnie prowadzi do wykonania dowolnego kodu.

W systemie głosowania online Campcodes w wersji 1.0 znaleziono lukę, która dotyczy nieznanej funkcjonalności pliku /admin/checklogin.php. Manipulacja argumentem myusername może prowadzić do wstrzyknięcia SQL.

W systemie zarządzania plikami szkolnymi Campcodes w wersji 1.0 wykryto podatność. Manipulacja argumentem stud_no w pliku /index.php komponentu Logowanie prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.

W systemie zarządzania dostawcami Campcodes w wersji 1.0 wykryto podatność bezpieczeństwa, która dotyczy nieznanej funkcji pliku /index.php komponentu Logowanie. Manipulacja argumentem txtUsername prowadzi do wstrzyknięcia SQL.

Wtyczka OneClick Chat to Order dla WordPressa jest podatna na niebezpieczne bezpośrednie odniesienie do obiektów we wszystkich wersjach do 1.0.8 włącznie, z powodu braku walidacji klucza kontrolowanego przez użytkownika w funkcji 'wa_order_thank_you_override'. Umożliwia to nieautoryzowanym atakującym przeglądanie wrażliwych informacji o klientach.

Wtyczka CP Contact Form with PayPal dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do i włącznie z 1.3.56. Problem wynika z wystawienia nieautoryzowanego punktu końcowego podobnego do IPN, który przetwarza potwierdzenia płatności bez jakiejkolwiek autoryzacji.

Wtyczka Zegen Core dla WordPressa jest podatna na atak Cross-Site Request Forgery, umożliwiający przesyłanie dowolnych plików w wersjach do 2.0.1 włącznie. Problem wynika z braku walidacji nonce oraz walidacji typu pliku w pliku '/custom-font-code/custom-fonts-uploads.php'.

Ta podatność umożliwia stronie internetowej przejście w tryb pełnoekranowy po kliknięciu użytkownika, bez wyświetlania powiadomienia o pełnym ekranie. Brak takiego powiadomienia może wprowadzać użytkowników w błąd co do tego, na jakiej stronie się znajdują, jeśli złośliwa strona wyświetli fałszywy interfejs użytkownika (np. fałszywy pasek adresu).

W wersji 0.18.0 RNP wystąpił regres w refaktoryzacji, który powoduje, że symetryczny klucz sesji używany dla pakietów Public-Key Encrypted Session Key (PKESK) pozostaje niezainicjowany, z wyjątkiem zera, co skutkuje tym, że zawsze jest to tablica bajtów wypełniona zerami. Jakiekolwiek dane zaszyfrowane przy użyciu szyfrowania kluczem publicznym w tej wersji mogą być łatwo odszyfrowane, co całkowicie kompromituje poufność.

Wtyczka S2B AI Assistant – ChatBot, ChatGPT, OpenAI, Content & Image Generator dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji storeFile(). Dotyczy to wszystkich wersji do 1.7.8 włącznie.

W podatności CVE-2025-66095 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie zarządzania kliniką KiviCare. Problem dotyczy wersji KiviCare od n/a do 3.6.13.

Podatność CVE-2025-66073 dotyczy deserializacji niezaufanych danych w wtyczce WP Webhooks, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WP Webhooks od n/a do 3.3.8 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce Icegram Email Subscribers & Newsletters umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 5.9.10 włącznie.

W jądrze Linux w serwerze NFS (NFSD) usunięto limit liczby operacji w żądaniu NFSv4 COMPOUND, co pozwala atakującemu na umieszczenie dowolnie dużej liczby operacji. Powoduje to ogromną alokację pamięci (np. 1.2 TB) i awarię systemu.

Wtyczka WP Directory Kit dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'columns_search' funkcji select_2_ajax() we wszystkich wersjach do i włącznie z 1.4.3. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Simple User Registration dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'wpr_admin_msg' we wszystkich wersjach do 6.6 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.