Katalog podatności CVE

W systemie zarządzania mieszkaniami itsourcecode w wersji 1.0 odkryto lukę bezpieczeństwa. Nieznana funkcja w pliku /setting/year_setup.php umożliwia wstrzyknięcie SQL poprzez manipulację argumentem txtXYear. Atak można przeprowadzić zdalnie.

Zidentyfikowano podatność w systemie zarządzania mieszkaniami itsourcecode w wersji 1.0, która dotyczy nieznanej funkcji pliku /o_dashboard/rented_all_info.php. Manipulacja argumentem uid prowadzi do wstrzykiwania SQL.

W systemie zarządzania sportem itsourcecode w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanej funkcji w pliku /login.php. Manipulacja argumentem User prowadzi do wstrzyknięcia SQL.

W systemie zarządzania mieszkaniami itsourcecode w wersji 1.0 odkryto podatność. Nieznana funkcja w pliku /report/complain_info.php umożliwia wstrzyknięcie SQL poprzez manipulację argumentem vid, co może być zrealizowane zdalnie.

W systemie zarządzania mieszkaniami itsourcecode w wersji 1.0 znaleziono lukę, która dotyczy nieznanej funkcji w pliku /report/unit_status_info.php. Manipulacja argumentem usid może prowadzić do wstrzyknięcia SQL.

W systemie zarządzania mieszkaniami itsourcecode w wersji 1.0 wykryto podatność, która dotyczy nieznanego przetwarzania pliku /report/bill_info.php. Manipulacja argumentem vid prowadzi do wstrzykiwania SQL.

Volto, frontend oparty na React dla systemu zarządzania treścią Plone, ma podatność w wersjach od 19.0.0-alpha.1 do przed 19.0.0-alpha.4, 18.0.0 do przed 18.24.0, 17.0.0 do przed 17.22.1 oraz przed 16.34.0. Użytkownik anonimowy może spowodować, że serwer NodeJS Volto zakończy działanie z błędem po odwiedzeniu określonego URL.

W demonie Udisks stwierdzono podatność polegającą na braku walidacji dolnej granicy indeksu deskryptora pliku podczas tworzenia urządzeń pętlowych przez nieuprzywilejowanych użytkowników za pośrednictwem D-BUS. Atakujący może przekazać ujemną wartość indeksu, co prowadzi do awarii demona lub eskalacji uprawnień lokalnych.

Podatność CVE-2025-9578 dotyczy lokalnego podwyższania uprawnień z powodu niebezpiecznych uprawnień do folderów. Dotyczy to produktów Acronis Cyber Protect Cloud Agent (Windows) przed wersją 40734.

Podatność CVE-2025-54742 dotyczy deserializacji niezaufanych danych w wtyczce WpEvently dla mage-eventpress, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WpEvently od n/a do 4.4.8.

W podatności CVE-2025-54731 występuje niewłaściwa kontrola generowania kodu ('wstrzykiwanie kodu') w emarket-design YouTube Showcase, co pozwala na wstrzykiwanie obiektów. Problem dotyczy wersji YouTube Showcase od n/a do 3.5.1 włącznie.

Podatność CVE-2025-54724 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w uxper Golo golo, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji Golo od n/a do 1.7.1 włącznie.

W podatności CVE-2025-54716 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Ireca. Problem ten dotyczy wersji Ireca od n/a do 1.8.5 włącznie.

W projekcie Zephyr Project Manager występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji Zephyr Project Manager od n/a do 3.3.201 włącznie.

W bPlugins Tiktok Feed występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji Tiktok Feed od n/a do 1.0.21 włącznie.

W podatności CVE-2025-54029 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w rozszerzeniu WooCommerce do importu i eksportu plików CSV. Problem dotyczy wersji od n/a do 2.0.6.

Podatność typu 'Path Traversal' w generatorze kodów UPC/EAN/GTIN autorstwa Dmitry V. umożliwia nieautoryzowany dostęp do plików w systemie. Problem dotyczy wersji od n/a do 2.0.2.

Podatność CVE-2025-53584 dotyczy deserializacji niezaufanych danych w oprogramowaniu WP Ticket Customer Service Software & Support Ticket System, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji oprogramowania od n/a do 6.0.2 włącznie.

Podatność CVE-2025-53583 dotyczy deserializacji niezaufanych danych w module Employee Spotlight, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Employee Spotlight od n/a do 5.1.1 włącznie.

Podatność CVE-2025-53579 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie Captcha.eu. Problem ten występuje w wersjach od n/a do poniżej 1.0.61.