Katalog podatności CVE

Wtyczka Verification SMS z TargetSMS dla WordPressa jest podatna na ograniczone zdalne wykonanie kodu we wszystkich wersjach do 1.5 włącznie, z powodu funkcji 'targetvr_ajax_handler'. Brak walidacji typu wywoływanej funkcji umożliwia nieautoryzowanym atakującym wykonanie dowolnej funkcji na stronie, takiej jak phpinfo().

Wtyczka Frontend Login and Registration Blocks dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do i włącznie z 1.0.8. Problem wynika z niewłaściwej walidacji tożsamości użytkownika przed aktualizacją hasła.

Wtyczka WPMasterToolKit (WPMTK) dla WordPressa jest podatna na atak typu Directory Traversal we wszystkich wersjach do 2.5.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej odczyt i modyfikację zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.

Wtyczka Configurator Theme Core dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 1.4.7 włącznie. Problem wynika z niewłaściwej walidacji pól meta użytkownika przed ich aktualizacją w bazie danych.

Wtyczka Xelion Webchat dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień z powodu braku sprawdzenia uprawnień w funkcji xwc_save_settings() we wszystkich wersjach do 9.1.0 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, aktualizację dowolnych opcji na stronie WordPress.

Wtyczka My Tickets – Accessible Event Ticketing dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do i włącznie z 2.0.16. Problem wynika z funkcji mt_save_profile(), która nie ogranicza odpowiednio dostępu nieautoryzowanych użytkowników do aktualizacji ról.

NIH BRICS (System Informatyki Badań Biomedycznych) w wersji 14.0.0-67 generuje przewidywalne tokeny, które zależą od nazwy użytkownika, czasu oraz stałego ciągu 7Dl9#dj-. To umożliwia nieautoryzowanym użytkownikom posiadającym kartę dostępu Common Access Card (CAC) eskalację uprawnień i kompromitację dowolnego konta, w tym kont administratorów.

W programie xfig znaleziono lukę umożliwiającą potencjalne wykonanie kodu poprzez lokalną manipulację danymi wejściowymi w funkcji bezier_spline.

Podatność typu Null Pointer Dereference w interfejsie Virtual Office SSLVPN SonicOS umożliwia zdalnemu, nieautoryzowanemu atakującemu spowodowanie awarii zapory, co może prowadzić do stanu Denial-of-Service (DoS).

W systemie BYD QIN PLUS DM-i Dilink OS w wersjach od v3.0_13.1.7.2204050.1 do v3.0_13.1.7.2312290.1_0 odkryto, że dane są przesyłane do chmurowego serwera producenta w sposób niezaszyfrowany. To umożliwia atakującym przeprowadzenie ataku typu man-in-the-middle.

Redis to otwartoźródłowa baza danych w pamięci, która zapisuje dane na dysku. W wersjach od 2.6 do 7.4.3, nieautoryzowany klient może spowodować nieograniczony wzrost buforów wyjściowych, co prowadzi do wyczerpania pamięci serwera.

Wtyczka Simple Shopping Cart dla WordPressa jest podatna na manipulację ceną produktów we wszystkich wersjach do i włącznie z 5.1.2. Problem wynika z błędu logicznego związanego z niespójnym użyciem parametrów podczas dodawania produktów do koszyka.

Wtyczka Simple Shopping Cart dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 5.1.2 włącznie, poprzez parametr 'file_url'. Umożliwia to nieautoryzowanym atakującym przeglądanie potencjalnie wrażliwych informacji oraz pobieranie produktów cyfrowych bez opłaty.

W wersji 12.0.0 Francois Jacquet RosarioSIS odkryto podatność na oszustwo treści w konfiguracji motywu w module Moje preferencje. Ta podatność umożliwia atakującym manipulację ustawieniami aplikacji.

DPMAdirektPro w wersji 4.1.5 jest podatny na atak typu DLL Hijacking. Atak ten polega na umieszczeniu złośliwej biblioteki DLL w katalogu, co skutkuje jej załadowaniem przez aplikację zamiast prawidłowej biblioteki DLL.

Codemers KLIMS w wersji 1.6.DEV umożliwia wstrzykiwanie kodu Python. Użytkownik może dostarczyć kod Python jako wartość wejściową dla parametru lub kwalifikatora (np. do sortowania), który zostanie wykonany po stronie serwera.

W podatności CVE-2025-3767 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w module Centreon BAM (Boolean KPi Listing). Problem dotyczy wersji Centreon BAM przed 24.10.1, 24.04.5, 23.10.10 oraz 23.04.10.

Podatność CVE-2025-23176 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami SQL w celu uzyskania nieautoryzowanego dostępu do danych.

Podatność na wstrzykiwanie SQL w wtyczce Message Filter for Contact Form 7 (wersje do 1.6.3.2) autorstwa Kofi Mokome. Atakujący może manipulować zapytaniami do bazy danych.

W podatności CVE-2025-46251 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce VikRestaurants, który pozwala na przeprowadzenie ataków CSRF. Dotyczy to wersji wtyczki od n/a do 1.3.3 włącznie.