Katalog podatności CVE

Podatność typu Null Pointer Dereference w interfejsie Virtual Office SSLVPN SonicOS umożliwia zdalnemu, nieautoryzowanemu atakującemu spowodowanie awarii zapory, co może prowadzić do stanu Denial-of-Service (DoS).

W systemie BYD QIN PLUS DM-i Dilink OS w wersjach od v3.0_13.1.7.2204050.1 do v3.0_13.1.7.2312290.1_0 odkryto, że dane są przesyłane do chmurowego serwera producenta w sposób niezaszyfrowany. To umożliwia atakującym przeprowadzenie ataku typu man-in-the-middle.

Redis to otwartoźródłowa baza danych w pamięci, która zapisuje dane na dysku. W wersjach od 2.6 do 7.4.3, nieautoryzowany klient może spowodować nieograniczony wzrost buforów wyjściowych, co prowadzi do wyczerpania pamięci serwera.

Wtyczka Simple Shopping Cart dla WordPressa jest podatna na manipulację ceną produktów we wszystkich wersjach do i włącznie z 5.1.2. Problem wynika z błędu logicznego związanego z niespójnym użyciem parametrów podczas dodawania produktów do koszyka.

Wtyczka Simple Shopping Cart dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 5.1.2 włącznie, poprzez parametr 'file_url'. Umożliwia to nieautoryzowanym atakującym przeglądanie potencjalnie wrażliwych informacji oraz pobieranie produktów cyfrowych bez opłaty.

W wersji 12.0.0 Francois Jacquet RosarioSIS odkryto podatność na oszustwo treści w konfiguracji motywu w module Moje preferencje. Ta podatność umożliwia atakującym manipulację ustawieniami aplikacji.

DPMAdirektPro w wersji 4.1.5 jest podatny na atak typu DLL Hijacking. Atak ten polega na umieszczeniu złośliwej biblioteki DLL w katalogu, co skutkuje jej załadowaniem przez aplikację zamiast prawidłowej biblioteki DLL.

Codemers KLIMS w wersji 1.6.DEV umożliwia wstrzykiwanie kodu Python. Użytkownik może dostarczyć kod Python jako wartość wejściową dla parametru lub kwalifikatora (np. do sortowania), który zostanie wykonany po stronie serwera.

W podatności CVE-2025-3767 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w module Centreon BAM (Boolean KPi Listing). Problem dotyczy wersji Centreon BAM przed 24.10.1, 24.04.5, 23.10.10 oraz 23.04.10.

Podatność CVE-2025-23176 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami SQL w celu uzyskania nieautoryzowanego dostępu do danych.

Podatność na wstrzykiwanie SQL w wtyczce Message Filter for Contact Form 7 (wersje do 1.6.3.2) autorstwa Kofi Mokome. Atakujący może manipulować zapytaniami do bazy danych.

W podatności CVE-2025-46251 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce VikRestaurants, który pozwala na przeprowadzenie ataków CSRF. Dotyczy to wersji wtyczki od n/a do 1.3.3 włącznie.

W podatności CVE-2025-46242 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Bob Watu Quiz. Problem ten dotyczy wersji Watu Quiz od n/a do 3.4.3 włącznie.

W podatności CVE-2025-46241 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Appointment Booking Calendar, który umożliwia wykonanie ataku SQL Injection. Problem ten dotyczy wersji wtyczki od n/a do 1.3.92 włącznie.

W Hitachi Ops Center Common Services występuje podatność na wyciek danych uwierzytelniających. Problem ten dotyczy wersji od 10.0.0-00 do przed 11.0.0-04 w Hitachi Ops Center Common Services oraz Hitachi Ops Center Analyzer viewpoint OVF.

Wykryto krytyczną podatność w urządzeniu H3C GR-3000AX do wersji V100R006, dotyczącą funkcji EnableIpv6/UpdateWanModeMulti/UpdateIpv6Params/EditWlanMacList/Edit_List_SSID w pliku /goform/aspForm. Manipulacja argumentem param prowadzi do przepełnienia bufora.

Podatność CVE-2025-23174 dotyczy ujawnienia wrażliwych informacji osobom nieuprawnionym. Może to prowadzić do nieautoryzowanego dostępu do danych, co stanowi poważne zagrożenie dla bezpieczeństwa systemu.

Klient FileWave dla systemu Windows przed wersją 16.0.0, w niektórych konfiguracjach niebędących domyślnymi, pozwala nieuprzywilejowanemu lokalnemu użytkownikowi na eskalację uprawnień do poziomu SYSTEM.

Podatność CVE-2025-3857 dotyczy klasy RawBinaryReader w Amazon.IonDotnet, która nie sprawdza liczby bajtów odczytanych z strumienia podczas deserializacji danych binarnych. W przypadku uszkodzonych lub uciętych danych Ion, może to prowadzić do nieskończonej pętli.

W kliencie Pritunl przed wersją 1.3.4220.57, administrator z dostępem do /Applications może eskalować uprawnienia po odinstalowaniu produktu. Administrator może wstawić nowy plik w miejsce usuniętego pliku pritunl-service, który następnie jest wykonywany przez LaunchDaemon jako root.