Katalog podatności CVE

W podatności CVE-2025-30979 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w galerii slajdów obrazów Pixelating. Problem dotyczy wersji galerii od n/a do 8.0 włącznie.

W podatności CVE-2025-30969 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce gopiplus iFrame Images Gallery. Problem dotyczy wersji wtyczki od n/a do 9.0 włącznie.

W podatności CVE-2025-30947 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Cool fade popup w wersjach od n/a do 10.1.

W podatności CVE-2025-28969 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości wstrzyknięcia SQL w widżecie galerii cybio. Problem dotyczy wersji widżetu galerii od n/a do 1.2.1 włącznie.

W podatności CVE-2025-28967 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości wstrzyknięcia SQL w formularzu kontaktowym aplikacji Contact people LITE. Problem ten dotyczy wersji od n/a do 3.7.4 włącznie.

Podatność CVE-2025-24735 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Chatra Live Chat + ChatBot + Cart Saver. Problem ten dotyczy wersji od n/a do 1.0.11.

Wtyczka Booking X dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji export_now() w wersjach od 1.0 do 1.1.2. Umożliwia to nieautoryzowanym atakującym pobranie wszystkich danych wtyczki, w tym kont użytkowników, metadanych użytkowników oraz danych PayPal, poprzez wysłanie odpowiednio skonstruowanego żądania POST.

Wtyczka Download Plugin dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji dpwap_plugin_locInstall we wszystkich wersjach do i włącznie z 2.2.8. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

CVE-2025-53369 dotyczy rozszerzenia MediaWiki, które obsługuje lokalne krótkie opisy. W wersji 4.0.0 krótkie opisy nie są odpowiednio oczyszczane przed wstawieniem jako HTML, co pozwala użytkownikom na wstawianie dowolnego HTML do DOM podczas edytowania strony.

Podatność umożliwia uwierzytelnionym użytkownikom zdalne wykonanie dowolnych poleceń systemu operacyjnego w Pandora FMS w wersji 7.0NG i wcześniejszych. Problem występuje w skrypcie net_tools.php, gdzie parametr select_ips nie jest odpowiednio oczyszczany przed przekazaniem do poleceń systemowych, co pozwala na wstrzyknięcie poleceń.

Podatność na niewłaściwą autoryzację w rozszerzeniu CentralAuth dla Mediawiki pozwala na ominięcie procesu uwierzytelniania. Problem dotyczy wersji Mediawiki - CentralAuth Extension: od 1.39.X przed 1.39.13, od 1.42.X przed 1.42.7, od 1.43.X przed 1.43.2.

Podatność typu przepełnienie bufora na stosie występuje w urządzeniach ABB RMC-100 oraz ABB RMC-100 LITE. Może zostać wykorzystana przez atakującego, który uzyska dostęp do sieci kontrolnej, gdy interfejs REST jest włączony oraz gdy aktywowano uwierzytelnianie brokerów użytkowników/hasła.

Podatność typu przepełnienie bufora na stosie w urządzeniach ABB RMC-100 oraz ABB RMC-100 LITE. W przypadku włączenia interfejsu REST przez użytkownika, atakujący, mając dostęp do sieci kontrolnej, może wykorzystać tę podatność do przepełnienia pola daty wygaśnięcia za pomocą konfiguracji JSON.

Wtyczka JKDEVKIT dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji 'font_upload_handler' we wszystkich wersjach do 1.9.4 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej usuwanie dowolnych plików na serwerze.

Podczas uruchamiania urządzenie automatycznie loguje użytkownika EPC2 w systemie Windows bez żądania hasła. To może prowadzić do nieautoryzowanego dostępu do systemu.

Dyski twarde urządzenia nie są szyfrowane przy użyciu pełnego szyfrowania woluminów, takiego jak BitLocker. Umożliwia to atakującemu z fizycznym dostępem do urządzenia interakcję z dyskami twardymi, całkowicie omijając logowanie do systemu Windows.

Mechanizm logowania serwera SMB nie wprowadza wystarczających środków zapobiegających wielokrotnym nieudanym próbom uwierzytelnienia w krótkim czasie, co czyni go podatnym na ataki typu brute-force.

MEAC300-FNADE4 nie wdraża wystarczających środków zapobiegających wielokrotnym nieudanym próbom uwierzytelnienia w krótkim czasie, co czyni go podatnym na ataki typu brute-force.

Aplikacja webowa jest podatna na ataki typu cross-site scripting (XSS). Napastnik może stworzyć przygotowany URL, który wstrzykuje kod JavaScript do strony internetowej, a kod ten jest wykonywany w przeglądarce ofiary po kliknięciu w link przez uwierzytelnionego administratora.

maxView Storage Manager nie wdraża wystarczających środków zapobiegających wielokrotnym nieudanym próbom uwierzytelnienia w krótkim czasie, co czyni go podatnym na ataki typu brute-force.