Katalog podatności CVE

W podatności CVE-2025-28979 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku PHP. Problem ten dotyczy wtyczki WP Pipes w wersjach od n/a do 1.4.3.

Podatność CVE-2025-28975 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Alike - WordPress Custom Post Comparison, co pozwala na ataki typu Reflected XSS. Problem ten występuje w wersjach od n/a do 3.0.1.

W podatności CVE-2025-25172 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji VidMov od n/a do 1.9.4 włącznie.

W podatności CVE-2025-24766 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji News Magazine X od n/a do 1.2.37 włącznie.

W systemie zarządzania szpitalem PHPGurukul w wersji 4.0 odkryto podatność, która dotyczy nieznanego kodu w pliku /admin/edit-doctor.php. Manipulacja argumentem docfees prowadzi do wstrzykiwania SQL, co może być wykorzystane przez atakującego zdalnie.

Zidentyfikowano podatność w systemie zarządzania szpitalem PHPGurukul w wersji 4.0, która dotyczy nieznanej części pliku /admin/doctor-specilization.php. Manipulacja argumentem doctorspecilization prowadzi do ataku typu SQL injection.

W systemie zarządzania testami COVID-19 SourceCodester w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem employeeid w pliku /check_availability.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez zdalnego atakującego.

W systemie zarządzania rezerwacjami lotów Campcodes Online Flight Booking Management System w wersji 1.0 odkryto podatność. Dotyczy ona nieznanej funkcjonalności pliku /admin/ajax.php?action=login w komponencie logowania, gdzie manipulacja argumentem 'Username' prowadzi do wstrzyknięcia SQL.

Niejasne sformułowania w interfejsie webowym mechanizmu konfiguracji ctrlX OS mogą wprowadzać użytkownika w błąd, sugerując, że plik kopii zapasowej jest szyfrowany, gdy ustawione jest hasło. W rzeczywistości szyfrowany jest tylko klucz prywatny, jeśli jest dostępny w kopii zapasowej, podczas gdy sam plik kopii zapasowej pozostaje nieszyfrowany.

Podatność w aplikacji webowej mechanizmu konfiguracji ctrlX OS umożliwia atakującemu z niskimi uprawnieniami zdalny dostęp do archiwów kopii zapasowych utworzonych przez użytkownika z podwyższonymi uprawnieniami. W zależności od zawartości archiwum, atakujący mógł uzyskać dostęp do wrażliwych danych.

W systemie zarządzania rekordami nauczycieli PHPGurukul w wersji 2.1 odkryto podatność. Nieznana funkcja w pliku /admin/search.php umożliwia wstrzyknięcie SQL poprzez manipulację argumentem searchdata, co pozwala na zdalne przeprowadzenie ataku.

Zidentyfikowano podatność w systemie zarządzania rekrutacją Campcodes Online Recruitment Management System w wersji 1.0. Problem dotyczy nieznanego przetwarzania pliku /Recruitment/index.php?page=view_vacancy, gdzie manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.

W systemie zarządzania wizytami projectworlds w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem rid w pliku /front.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania wizytami projectworlds w wersji 1.0 odkryto podatność, która dotyczy nieznanego przetwarzania pliku /query_data.php. Manipulacja argumentami dateF/dateP prowadzi do wstrzyknięcia SQL.

W projekcie projectworlds Online Notes Sharing Platform 1.0 odkryto podatność, która dotyczy nieznanego kodu w pliku /login.php. Manipulacja argumentem User prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

W systemie zarządzania sprzedażą 1000 Projects w wersji 1.0 zidentyfikowano podatność. Problem dotyczy nieznanej funkcjonalności pliku /superstore/dist/dordupdate.php, gdzie manipulacja argumentem select2 prowadzi do wstrzykiwania SQL.

W systemie zarządzania sprzedażą 1000 Projects w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /superstore/custcmp.php. Manipulacja argumentem Username prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania sprzedażą 1000 Projects w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanego kodu w pliku /superstore/admin/sales.php. Manipulacja argumentem ssalescat prowadzi do wstrzykiwania SQL.

W systemie zarządzania testami COVID-19 od SourceCodester w wersji 1.0 odkryto podatność. Manipulacja argumentem 'Username' w pliku /login.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez zdalnego atakującego.

Urządzenia KuWFi 5G01-X55 w wersji FL2020_V0.0.12 udostępniają nieautoryzowany punkt końcowy API (ajax_get.cgi), co pozwala zdalnym atakującym na uzyskanie wrażliwych danych konfiguracyjnych, w tym poświadczeń administratora.