Katalog podatności CVE

W podatności CVE-2025-24774 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce mojoomla WPCRM - CRM dla formularza kontaktowego CF7 i WooCommerce. Problem dotyczy wersji WPCRM od n/a do 3.2.0 włącznie.

W podatności CVE-2025-24769 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP w BZOTheme Zenny w wersjach od n/a do 1.7.5. Problem ten może prowadzić do nieautoryzowanego dostępu do plików na serwerze.

W podatności CVE-2025-24765 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w aplikacji RobMarsh Image Shadow. Problem ten dotyczy wersji Image Shadow od n/a do 1.1.0 włącznie.

W podatności CVE-2025-24760 występuje niewłaściwa kontrola nazwy pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Sofass. Problem dotyczy wersji Sofass od n/a do 1.3.4 włącznie.

W podatności CVE-2025-23973 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce SpecFit-Virtual Try On dla WooCommerce. Problem dotyczy wersji od n/a do 8.0.3.

W podatności CVE-2023-25998 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Samex - Clean, Minimal Shop WooCommerce dla WordPressa. Problem dotyczy wersji motywu od n/a do 2.6.

Wykryto krytyczną podatność w Kingdee Cloud-Starry-Sky Enterprise Edition w wersjach 6.x/7.x/8.x/9.0. Problem dotyczy funkcji plugin.buildMobilePopHtml w pliku DynamicForm 4 Action.class komponentu Freemarker Engine, co prowadzi do niewłaściwej neutralizacji specjalnych elementów używanych w silniku szablonów.

Wielokrotne wersje rejestratorów sieciowych TB-eye oraz rejestratorów AHD mają problem z wstrzykiwaniem poleceń systemowych. W przypadku wykorzystania tej podatności, atakujący, który zaloguje się do urządzenia, może wykonać dowolne polecenie systemowe.

Wykryto krytyczną podatność w urządzeniach Linksys WRT1900ACS, EA7200, EA7450 i EA7500 do wersji 20250619. Podatność dotyczy funkcji SetDefaultConnectionService w pliku /upnp/control/Layer3Forwarding komponentu IGD, co prowadzi do przepełnienia bufora na stosie.

Wykryto krytyczną podatność w urządzeniu Linksys E8450 w wersjach do 1.2.00.360516, która dotyczy funkcji set_device_language w pliku portal.cgi. Manipulacja argumentem dut_language prowadzi do przepełnienia bufora, co umożliwia zdalne przeprowadzenie ataku.

File Browser w wersjach 2.x umożliwia wykonywanie poleceń powłoki, co może prowadzić do nieautoryzowanego dostępu do plików poza przypisanym zakresem użytkownika. Funkcja ta, jeśli jest włączona, stwarza poważne zagrożenie dla bezpieczeństwa danych.

File Browser w wersjach 2.x przed 2.33.10 ma lukę w funkcji wykonania poleceń, która pozwala na uruchamianie poleceń powłoki zdefiniowanych na liście dozwolonych dla użytkownika. Wiele narzędzi umożliwia wykonanie dowolnych poleceń, co czyni to ograniczenie nieefektywnym.

Octo-STS to aplikacja GitHub, która działa jako usługa tokenów bezpieczeństwa (STS) dla API GitHub. Wersje Octo-STS przed v0.5.3 są podatne na nieautoryzowany SSRF, wykorzystując pola w tokenach OpenID Connect.

Niektóre modele hybrydowych rejestratorów wideo (HBF-09KD i HBF-16NK) od firmy Hunt Electronic mają podatność na wstrzykiwanie poleceń systemowych. Umożliwia to zdalnym atakującym z normalnymi uprawnieniami wstrzykiwanie dowolnych poleceń systemowych i ich wykonywanie na urządzeniu.

Wersje SIR 1.0.3 i wcześniejsze zawierają podatność na manipulację ścieżkami lub linkami symbolicznymi, która pozwala uwierzytelnionemu lokalnemu użytkownikowi bez uprawnień administratora na nadpisanie plików systemowych plikami kopii zapasowej SIR. Może to prowadzić do awarii systemu.

Użytkownik z określonymi uprawnieniami do edycji grup węzłów oraz specjalnie spreparowanym parametrem klasy może wykonać polecenia jako root na głównym hoście. Podatność dotyczy Puppet Enterprise w wersjach od 2018.1.8 do 2023.8.3 oraz 2025.3, a została naprawiona w wersjach 2023.8.4 i 2025.4.0.

Zidentyfikowano potencjalną podatność w HPE OneView dla VMware vCenter (OV4VC). Podatność ta może być wykorzystana przez atakującego z uprawnieniami tylko do odczytu, co pozwala na eskalację uprawnień do poziomu administratora.

Wersje pakietu Snyk przed 1.1297.3 są podatne na wprowadzenie wrażliwych informacji do pliku dziennika poprzez lokalne logi debugowe Snyk CLI. Dane uwierzytelniające do rejestru kontenerów mogą być ujawnione podczas wykonywania Snyk CLI w trybie DEBUG lub DEBUG/TRACE.

Wtyczka Owl carousel dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr 'id' we wszystkich wersjach do i włącznie z 1.9. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W systemie zarządzania zapasami code-projects w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem brandId w pliku /php_action/fetchSelectedBrand.php prowadzi do ataku typu SQL injection, który może być przeprowadzony zdalnie.