Katalog podatności CVE

K7RKScan.sys w wersji 23.0.0.10, będący częścią pakietu K7 Security Anti-Malware, pozwala użytkownikowi z uprawnieniami administratora na wysyłanie spreparowanych żądań IOCTL w celu zakończenia procesów chronionych przez implementację zewnętrzną. Problem wynika z niewystarczającej walidacji wywołującego w obsłudze IOCTL sterownika.

Podatność CVE-2025-41701 pozwala nieautoryzowanemu atakującemu na oszukanie lokalnego użytkownika w celu wykonania dowolnych poleceń poprzez otwarcie celowo zmanipulowanego pliku projektu w podatnym narzędziu inżynieryjnym. Te dowolne polecenia są wykonywane w kontekście użytkownika.

Zidentyfikowano podatność w SIMATIC PCS neo w wersjach V4.1, V5.0 oraz V6.0 (wszystkie wersje < V6.0 SP1 Update 1) oraz w komponencie zarządzania użytkownikami (UMC) (wszystkie wersje < V2.15.1.3). Podatność ta polega na odczycie poza zakresem w zintegrowanym komponencie UMC.

Zidentyfikowano podatność w SIMATIC PCS neo w wersjach V4.1, V5.0 oraz V6.0 (wszystkie wersje poniżej V6.0 SP1 Update 1) oraz w komponencie zarządzania użytkownikami (UMC) (wszystkie wersje poniżej V2.15.1.3). Podatność ta polega na odczycie poza zakresem w zintegrowanym komponencie UMC.

Zidentyfikowano podatność w SIMATIC PCS neo w wersjach 4.1, 5.0 oraz 6.0 (wszystkie wersje poniżej V6.0 SP1 Update 1) oraz w komponencie zarządzania użytkownikami (UMC) (wszystkie wersje poniżej V2.15.1.3). Podatność ta polega na odczycie poza zakresem w zintegrowanym komponencie UMC, co może umożliwić nieautoryzowanemu zdalnemu atakującemu spowodowanie stanu odmowy usługi.

Wtyczka AutomatorWP dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji automatorwp_ajax_import_automation_from_url we wszystkich wersjach do 5.3.6 włącznie. Umożliwia to atakującym z poziomem dostępu Subskrybenta i wyżej tworzenie dowolnych automatyzacji.

W urządzeniach D-Link DIR-823X do wersji 250416 zidentyfikowano podatność w funkcji sub_415028 pliku /goform/set_static_leases. Manipulacja argumentem Hostname może prowadzić do wstrzyknięcia poleceń, co umożliwia zdalne przeprowadzenie ataku.

Podatność CVE-2025-42933 dotyczy braku odpowiedniego szyfrowania w usłudze backendowej SLD podczas logowania użytkownika przez natywny klient SAP Business One. W wyniku tego, w odpowiedzi HTTP mogą być ujawnione wrażliwe dane uwierzytelniające.

Z powodu braku walidacji danych wejściowych, atakujący z wysokimi uprawnieniami do raportów ABAP może usunąć zawartość dowolnych tabel bazy danych, jeśli tabele nie są chronione przez grupę autoryzacyjną. To prowadzi do poważnego wpływu na integralność i dostępność bazy danych.

Z powodu braku walidacji danych wejściowych, atakujący z wysokimi uprawnieniami do raportów ABAP może usunąć zawartość dowolnych tabel bazy danych, jeśli tabele te nie są chronione przez grupę autoryzacyjną. To prowadzi do wysokiego wpływu na integralność i dostępność bazy danych.

W systemie itsourcecode E-Logbook z modułem monitorowania zdrowia dla COVID-19 w wersji 1.0 wykryto podatność na SQL injection. Problem dotyczy nieznanej funkcji w pliku /login.php, gdzie manipulacja argumentem Username prowadzi do wykonania złośliwego kodu SQL.

Zidentyfikowano podatność w SiempreCMS do wersji 1.3.6, która dotyczy nieznanego kodu w pliku /docs/admin/file_upload.php. Manipulacja tym kodem prowadzi do nieograniczonego przesyłania plików.

W SiempreCMS w wersjach do 1.3.6 zidentyfikowano podatność, która dotyczy nieznanej części pliku user_search_ajax.php. Manipulacja argumentem name/userName prowadzi do wstrzykiwania SQL.

W PHPGurukul Small CRM w wersji 4.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /profile.php. Manipulacja argumentem 'Name' prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania informacjami o studentach itsourcecode w wersji 1.0 wykryto podatność, która dotyczy nieznanej funkcji w pliku /admin/modules/room/index.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co może być przeprowadzone zdalnie.

W systemie zarządzania informacjami o studentach itsourcecode w wersji 1.0 zidentyfikowano słabość. Problem dotyczy nieznanej funkcji w pliku /admin/modules/department/index.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem ID.

W systemie zarządzania informacjami o studentach itsourcecode w wersji 1.0 odkryto lukę bezpieczeństwa. Problem dotyczy nieznanej funkcji w pliku /admin/modules/instructor/index.php, gdzie manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.

W systemie zarządzania pożyczkami online Campcodes w wersji 1.0 zidentyfikowano podatność. Problem dotyczy nieznanego przetwarzania pliku /ajax.php?action=delete_payment, co może prowadzić do wstrzyknięcia SQL poprzez manipulację argumentem ID.

W systemie zarządzania pożyczkami online Campcodes w wersji 1.0 odkryto podatność, która dotyczy nieznanego kodu w pliku /ajax.php?action=delete_loan. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.

W Envasadora H2O Eireli - Soda Cristal v40.20.4 występuje podatność typu Insecure Direct Object Reference (IDOR), która pozwala uwierzytelnionym atakującym na dostęp do wrażliwych danych innych użytkowników za pomocą odpowiednio skonstruowanego żądania HTTP.