Katalog podatności CVE

W podatności CVE-2025-47694 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Blog Designer PRO w wersjach od n/a do 3.4.7.

Podatność CVE-2025-47571 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem ten występuje w wtyczce Super Store Finder w wersjach od n/a do poniżej 7.8.

W podatności CVE-2025-47570 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WooCommerce Photo Reviews w wersjach od n/a do 1.3.13.

Podatność CVE-2025-32689 dotyczy niewłaściwej walidacji określonej ilości w danych wejściowych w wtyczce WP SmartPay. Problem ten dotyczy wersji WP SmartPay od n/a do 2.8.2 włącznie.

K7RKScan.sys w wersji 23.0.0.10, będący częścią pakietu K7 Security Anti-Malware, pozwala użytkownikowi z uprawnieniami administratora na wysyłanie spreparowanych żądań IOCTL w celu zakończenia procesów chronionych przez implementację zewnętrzną. Problem wynika z niewystarczającej walidacji wywołującego w obsłudze IOCTL sterownika.

Podatność CVE-2025-41701 pozwala nieautoryzowanemu atakującemu na oszukanie lokalnego użytkownika w celu wykonania dowolnych poleceń poprzez otwarcie celowo zmanipulowanego pliku projektu w podatnym narzędziu inżynieryjnym. Te dowolne polecenia są wykonywane w kontekście użytkownika.

Zidentyfikowano podatność w SIMATIC PCS neo w wersjach V4.1, V5.0 oraz V6.0 (wszystkie wersje < V6.0 SP1 Update 1) oraz w komponencie zarządzania użytkownikami (UMC) (wszystkie wersje < V2.15.1.3). Podatność ta polega na odczycie poza zakresem w zintegrowanym komponencie UMC.

Zidentyfikowano podatność w SIMATIC PCS neo w wersjach V4.1, V5.0 oraz V6.0 (wszystkie wersje poniżej V6.0 SP1 Update 1) oraz w komponencie zarządzania użytkownikami (UMC) (wszystkie wersje poniżej V2.15.1.3). Podatność ta polega na odczycie poza zakresem w zintegrowanym komponencie UMC.

Zidentyfikowano podatność w SIMATIC PCS neo w wersjach 4.1, 5.0 oraz 6.0 (wszystkie wersje poniżej V6.0 SP1 Update 1) oraz w komponencie zarządzania użytkownikami (UMC) (wszystkie wersje poniżej V2.15.1.3). Podatność ta polega na odczycie poza zakresem w zintegrowanym komponencie UMC, co może umożliwić nieautoryzowanemu zdalnemu atakującemu spowodowanie stanu odmowy usługi.

Wtyczka AutomatorWP dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji automatorwp_ajax_import_automation_from_url we wszystkich wersjach do 5.3.6 włącznie. Umożliwia to atakującym z poziomem dostępu Subskrybenta i wyżej tworzenie dowolnych automatyzacji.

W urządzeniach D-Link DIR-823X do wersji 250416 zidentyfikowano podatność w funkcji sub_415028 pliku /goform/set_static_leases. Manipulacja argumentem Hostname może prowadzić do wstrzyknięcia poleceń, co umożliwia zdalne przeprowadzenie ataku.

Podatność CVE-2025-42933 dotyczy braku odpowiedniego szyfrowania w usłudze backendowej SLD podczas logowania użytkownika przez natywny klient SAP Business One. W wyniku tego, w odpowiedzi HTTP mogą być ujawnione wrażliwe dane uwierzytelniające.

Z powodu braku walidacji danych wejściowych, atakujący z wysokimi uprawnieniami do raportów ABAP może usunąć zawartość dowolnych tabel bazy danych, jeśli tabele nie są chronione przez grupę autoryzacyjną. To prowadzi do poważnego wpływu na integralność i dostępność bazy danych.

Z powodu braku walidacji danych wejściowych, atakujący z wysokimi uprawnieniami do raportów ABAP może usunąć zawartość dowolnych tabel bazy danych, jeśli tabele te nie są chronione przez grupę autoryzacyjną. To prowadzi do wysokiego wpływu na integralność i dostępność bazy danych.

W systemie itsourcecode E-Logbook z modułem monitorowania zdrowia dla COVID-19 w wersji 1.0 wykryto podatność na SQL injection. Problem dotyczy nieznanej funkcji w pliku /login.php, gdzie manipulacja argumentem Username prowadzi do wykonania złośliwego kodu SQL.

Zidentyfikowano podatność w SiempreCMS do wersji 1.3.6, która dotyczy nieznanego kodu w pliku /docs/admin/file_upload.php. Manipulacja tym kodem prowadzi do nieograniczonego przesyłania plików.

W SiempreCMS w wersjach do 1.3.6 zidentyfikowano podatność, która dotyczy nieznanej części pliku user_search_ajax.php. Manipulacja argumentem name/userName prowadzi do wstrzykiwania SQL.

W PHPGurukul Small CRM w wersji 4.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /profile.php. Manipulacja argumentem 'Name' prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania informacjami o studentach itsourcecode w wersji 1.0 wykryto podatność, która dotyczy nieznanej funkcji w pliku /admin/modules/room/index.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co może być przeprowadzone zdalnie.

W systemie zarządzania informacjami o studentach itsourcecode w wersji 1.0 zidentyfikowano słabość. Problem dotyczy nieznanej funkcji w pliku /admin/modules/department/index.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem ID.