Katalog podatności CVE

MJM QuickPlayer w wersji 2010 zawiera podatność na przepełnienie bufora na stosie, która jest wywoływana przez otwarcie złośliwego pliku muzycznego .s3m. Błąd wynika z niewłaściwego sprawdzania granic w parserze plików, co pozwala atakującemu na nadpisanie pamięci i wykonanie dowolnego kodu.

Xion Audio Player w wersjach 1.0.126 i wcześniejszych jest podatny na przepełnienie bufora stosu oparte na Unicode, które jest wywoływane przez otwarcie specjalnie przygotowanego pliku playlisty .m3u. Plik ten zawiera zbyt długi ciąg, który nadpisuje łańcuch Structured Exception Handler (SEH), co pozwala atakującemu na przejęcie kontroli nad przepływem wykonania i uruchomienie dowolnego kodu.

Podatność na obejście uwierzytelniania w jobx do wersji 1.0.1-RELEASE umożliwia atakującemu dostęp do wrażliwego API bez konieczności posiadania tokena, wykorzystując funkcję preHandle.

Występuje podatność typu 'Path Traversal', która pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Może to prowadzić do zdalnego wykonania kodu, gdy uwierzytelniony atakujący z uprawnieniami administratora przesyła złośliwy plik przez HTTP, który następnie zostaje wykonany.

W podatności CVE-2025-54925 występuje luka typu Server-Side Request Forgery (SSRF), która może prowadzić do nieautoryzowanego dostępu do wrażliwych danych. Atakujący może skonfigurować aplikację, aby uzyskać dostęp do złośliwego adresu URL.

W podatności CVE-2025-54924 występuje luka typu Server-Side Request Forgery (SSRF), która może prowadzić do nieautoryzowanego dostępu do wrażliwych danych. Atakujący może wykorzystać specjalnie przygotowany dokument, aby zaatakować podatny punkt końcowy.

Podatność w procesie resetowania hasła aplikacji mobilnej Touch Lebanon w wersji 2.20.2 pozwala atakującemu na ominięcie mechanizmu resetowania hasła za pomocą OTP. Manipulując procesem resetowania, nieautoryzowany użytkownik może zresetować hasło i uzyskać dostęp do konta bez konieczności podawania ważnego czynnika uwierzytelniającego.

W podatności CVE-2025-5261 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w oprogramowaniu Pik Online. Umożliwia to wykorzystanie zaufanych identyfikatorów przed wersją 3.1.5.

Podatność typu Server-Side Request Forgery (SSRF) w Pik Online Yazılım Çözümleri A.Ş. umożliwia atakującym wysyłanie żądań do wewnętrznych zasobów serwera. Problem dotyczy wersji Pik Online przed 3.1.5.

Podatność CVE-2025-55715 dotyczy wtyczki Otter - Gutenberg Block, która umożliwia wstrzykiwanie wrażliwych informacji do wysyłanych danych. Problem ten występuje w wersjach od n/a do 3.1.0.

W podatności CVE-2025-54750 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Funnel Builder od FunnelKit w wersjach od n/a do 3.11.1.

Podatność związana z nieprawidłowym przypisaniem uprawnień w frameworku CubeWP pozwala na eskalację uprawnień. Problem ten dotyczy wersji CubeWP od n/a do 1.1.24 włącznie.

Podatność CVE-2025-54670 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w oprogramowaniu oik w wersjach od n/a do 4.15.2.

Podatność CVE-2025-54056 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w odtwarzaczu audio HTML5 PRO z playlistą od LambertGroup, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 3.5.8 włącznie.

Podatność CVE-2025-54055 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Druco, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Druco od n/a do 1.5.2 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Realtyna Organic IDX umożliwia lokalne włączenie plików PHP. Problem ten dotyczy wersji wtyczki od n/a do 5.0.0 włącznie.

Podatność CVE-2025-54044 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w odtwarzaczu wideo Elite Video Player, co prowadzi do możliwości ataków typu Reflected XSS. Problem ten dotyczy wersji od n/a do 10.0.5 włącznie.

W podatności CVE-2025-54034 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w oprogramowaniu Tribulant Software Newsletters w wersjach od n/a do 4.10. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Podatność CVE-2025-54032 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji WebCodingPlace Real Estate Manager Pro, co prowadzi do możliwości ataków typu Reflected XSS. Problem ten dotyczy wersji Real Estate Manager Pro od n/a do 12.7.3 włącznie.

W podatności CVE-2025-54031 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Schiocco Support Board. Problem dotyczy wersji Support Board od n/a do 3.8.0 włącznie.