Katalog podatności CVE

W systemie jshERP v3.5 w komponencie ResourceController.java występuje podatność polegająca na nieprawidłowej kontroli dostępu. Nieautoryzowany atakujący może uzyskać wszystkie odpowiadające dane ID, modyfikując wartość ID.

W jshERP v3.5 w komponencie RoleController.java występuje nieprawidłowa kontrola dostępu, która umożliwia nieautoryzowanym atakującym dowolną modyfikację statusu dostawcy na dowolnym koncie.

Plex Media Server (PMS) w wersjach od 1.41.7.x do 1.42.0.x przed wersją 1.42.1 jest podatny na nieprawidłowy transfer zasobów między sferami. Interfejs /myplex/account ujawnia dane uwierzytelniające właściciela serwera, a wywołanie /api/resources ujawnia inne serwery dostępne dla tego właściciela.

Motyw Inspiro dla WordPressa jest podatny na atak Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 2.1.2. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji inspiro_install_plugin().

W EdgeMAX EdgeSwitch (wersja 1.11.0 i wcześniejsze) występuje niewłaściwa walidacja danych wejściowych, co może umożliwić atak typu Command Injection przez złośliwego aktora mającego dostęp do sąsiedniej sieci EdgeSwitch.

W aplikacji UISP występuje wiele błędów związanych z nieprawidłowym przypisaniem uprawnień do krytycznych zasobów, co może pozwolić złośliwemu użytkownikowi z określonymi uprawnieniami na eskalację uprawnień.

Podatność CVE-2025-27215 dotyczy niewłaściwej kontroli dostępu, która może pozwolić złośliwemu użytkownikowi, posiadającemu autoryzację w API niektórych urządzeń UniFi Connect Display Cast, na wprowadzenie nieobsługiwanych zmian w systemie.

W systemie Swatadru Exam-Seating-Arrangement zidentyfikowano podatność, która dotyczy nieznanej funkcji w pliku /student.php komponentu logowania studenta. Manipulacja argumentem email może prowadzić do ataku typu SQL injection, który można przeprowadzić zdalnie.

W produktach ManageEngine, takich jak Asset Explorer, ServiceDesk Plus, ServiceDesk Plus MSP oraz SupportCenter Plus, zidentyfikowano lukę w zarządzaniu uprawnieniami. Dotyczy ona wersji Asset Explorer przed 7710, ServiceDesk Plus przed 15110, ServiceDesk Plus MSP przed 14940 oraz SupportCenter Plus przed 14940.

MJM QuickPlayer w wersji 2010 zawiera podatność na przepełnienie bufora na stosie, która jest wywoływana przez otwarcie złośliwego pliku muzycznego .s3m. Błąd wynika z niewłaściwego sprawdzania granic w parserze plików, co pozwala atakującemu na nadpisanie pamięci i wykonanie dowolnego kodu.

Xion Audio Player w wersjach 1.0.126 i wcześniejszych jest podatny na przepełnienie bufora stosu oparte na Unicode, które jest wywoływane przez otwarcie specjalnie przygotowanego pliku playlisty .m3u. Plik ten zawiera zbyt długi ciąg, który nadpisuje łańcuch Structured Exception Handler (SEH), co pozwala atakującemu na przejęcie kontroli nad przepływem wykonania i uruchomienie dowolnego kodu.

Podatność na obejście uwierzytelniania w jobx do wersji 1.0.1-RELEASE umożliwia atakującemu dostęp do wrażliwego API bez konieczności posiadania tokena, wykorzystując funkcję preHandle.

Występuje podatność typu 'Path Traversal', która pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Może to prowadzić do zdalnego wykonania kodu, gdy uwierzytelniony atakujący z uprawnieniami administratora przesyła złośliwy plik przez HTTP, który następnie zostaje wykonany.

W podatności CVE-2025-54925 występuje luka typu Server-Side Request Forgery (SSRF), która może prowadzić do nieautoryzowanego dostępu do wrażliwych danych. Atakujący może skonfigurować aplikację, aby uzyskać dostęp do złośliwego adresu URL.

W podatności CVE-2025-54924 występuje luka typu Server-Side Request Forgery (SSRF), która może prowadzić do nieautoryzowanego dostępu do wrażliwych danych. Atakujący może wykorzystać specjalnie przygotowany dokument, aby zaatakować podatny punkt końcowy.

Podatność w procesie resetowania hasła aplikacji mobilnej Touch Lebanon w wersji 2.20.2 pozwala atakującemu na ominięcie mechanizmu resetowania hasła za pomocą OTP. Manipulując procesem resetowania, nieautoryzowany użytkownik może zresetować hasło i uzyskać dostęp do konta bez konieczności podawania ważnego czynnika uwierzytelniającego.

W podatności CVE-2025-5261 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w oprogramowaniu Pik Online. Umożliwia to wykorzystanie zaufanych identyfikatorów przed wersją 3.1.5.

Podatność typu Server-Side Request Forgery (SSRF) w Pik Online Yazılım Çözümleri A.Ş. umożliwia atakującym wysyłanie żądań do wewnętrznych zasobów serwera. Problem dotyczy wersji Pik Online przed 3.1.5.

Podatność CVE-2025-55715 dotyczy wtyczki Otter - Gutenberg Block, która umożliwia wstrzykiwanie wrażliwych informacji do wysyłanych danych. Problem ten występuje w wersjach od n/a do 3.1.0.

W podatności CVE-2025-54750 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Funnel Builder od FunnelKit w wersjach od n/a do 3.11.1.