Katalog podatności CVE

W systemie SourceCodester Online Student File Management System 1.0 wykryto podatność SQL Injection w pliku /admin/delete_student.php. Poprzez manipulację argumentem stud_id atakujący może wykonać dowolne zapytania SQL. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.

W SourceCodester Online Student File Management System 1.0 wykryto podatność w nieznanej funkcji pliku /admin/update_student.php. Manipulacja argumentem stud_id prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny.

Podatność CVE-2025-8463 dotyczy SecHard Information Technologies i pozwala na ominięcie autoryzacji poprzez klucz kontrolowany przez użytkownika, co umożliwia wymuszone przeglądanie. Problem ten dotyczy wersji SecHard przed 3.6.2-20250805.

Wykryto podatność na wstrzyknięcie SQL w itsourcecode Online Public Access Catalog OPAC 1.0 w pliku mysearch.php, gdzie argumenty search_field/search_text są nieprawidłowo obsługiwane, co pozwala na zdalny atak.

Podatność CVE-2025-0879 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Shopside, co umożliwia ataki typu Cross-Site Scripting (XSS). Wymaga ona wysokich uprawnień do wykorzystania.

Motyw Sydney dla WordPressa (wersje do 2.56 włącznie) nie sprawdza uprawnień w funkcji 'activate_modules'. Uwierzytelniony atakujący z rolą Subscriber lub wyższą może włączać i wyłączać moduły motywu.

Podatność CVE-2025-0546 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu MevzuatTR, co prowadzi do możliwości ataków XSS, phishingu, nakładania iFrame, clickjackingu oraz wymuszonego przeglądania. Wymaga to wysokich uprawnień.

W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność Cross-Site Scripting (XSS) w pliku /intranet/educar_usuario_det.php. Poprzez manipulację argumentem ref_pessoa atakujący może wstrzyknąć złośliwy skrypt. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.

W Paraşüt Software występuje podatność na Cross-Site Scripting (XSS) spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od 0.0.0.65efa44e do 20250204.

Podatność CVE-2025-0419 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Zirve Nova, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji od 235 do 20250131.

Wtyczka Media Player Addons for Elementor dla WordPressa w wersji 1.0.5 jest podatna na trwały atak XSS poprzez parametry 'subtitle_ssize', 'track_title' i 'track_artist_name'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony.

Wtyczka Quiz Maker dla WordPress jest podatna na SQL Injection poprzez fałszowane nagłówki IP we wszystkich wersjach do 6.7.0.56 włącznie, z powodu niewystarczającego escapowania parametru użytkownika i braku przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia poufnych informacji z bazy danych.

W aplikacji do zarządzania zasilaczami UPS firmy OMRON SOCIAL SOLUTIONS występuje podatność CWE-428 polegająca na braku ujęcia ścieżek plików wykonywalnych usług Windows w cudzysłowy. Jeśli ścieżka instalacji zawiera spacje, możliwe jest wykonanie nieautoryzowanych plików z uprawnieniami usługi.

Wtyczka Archiver dla WordPressa (The Hack Repair Guy's Plugin Archiver) w wersjach do 2.0.4 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji bulk_remove(). Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnego katalogu w /wp-content poprzez sfałszowane żądanie.

Wtyczka Memberlite Shortcodes dla WordPressa (wersje do 1.4 włącznie) jest podatna na przechowywany XSS poprzez shortcode 'row'. Brak wystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych pozwala na wstrzyknięcie skryptów.

Wtyczka User Sync – Remote User Sync dla WordPressa jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.0.2 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji mo_user_sync_form_handler(). Umożliwia to nieuwierzytelnionym atakującym dezaktywację wtyczki poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora witryny do wykonania akcji, np. kliknięcia linku.

Wtyczka USS Upyun dla WordPress jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.5.0 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji uss_setting_page podczas przetwarzania formularza uss_set. Nieuwierzytelniony atakujący może zmodyfikować krytyczne ustawienia Upyun, takie jak nazwa bucketu, dane operatora, ścieżki uploadu i parametry przetwarzania obrazów, poprzez sfałszowane żądanie, jeśli nakłoni administratora do kliknięcia linku.

Wtyczka Productive Style dla WordPressa do wersji 1.1.23 włącznie jest podatna na trwały atak XSS poprzez shortcode display_productive_breadcrumb. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.

W produktach NEC Corporation UNIVERGE IX (wersje od 9.5 do 10.7, od 10.8.21 do 10.8.36, od 10.9.11 do 10.9.24, od 10.10.21 do 10.10.31, 10.11.6) oraz UNIVERGE IX-R/IX-V (wersje 1.3.16, 1.3.21) występuje podatność Cross-Site Scripting (XSS). Atakujący może wstrzyknąć dowolne skrypty, które mogą zostać wykonane w przeglądarce użytkownika.

Wtyczka Social Media Shortcodes dla WordPressa do wersji 1.3.1 włącznie jest podatna na trwały atak XSS poprzez shortcode 'twitter'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.