Katalog podatności CVE

Polycom RealPresence Group 500 w wersjach do 20 ma niebezpieczne uprawnienia spowodowane automatycznie ładowanymi ciasteczkami. Umożliwia to korzystanie z funkcji administratora, co prowadzi do wycieku wrażliwych informacji użytkowników.

Geovision GV-ASWeb w wersji 6.1.1.0 lub niższej pozwala atakującym na modyfikację metody żądania POST na GET w krytycznych funkcjonalnościach, takich jak zarządzanie kontem. Ta podatność jest wykorzystywana w połączeniu z CVE-2024-56901 do przeprowadzenia skutecznego ataku CSRF.

Podatność na ujawnienie informacji w aplikacji webowej Geovision GV-ASManager w wersji v6.1.0.0 lub niższej, która ujawnia informacje o kontach, w tym hasła w postaci niezaszyfrowanej.

W aplikacji Geovision GV-ASWeb w wersji 6.1.1.0 lub niższej występuje podatność typu Cross-Site Request Forgery (CSRF), która pozwala atakującym na dowolne tworzenie kont administratorów za pomocą spreparowanej metody żądania GET. Ta podatność jest wykorzystywana w połączeniu z CVE-2024-56903 do przeprowadzenia skutecznego ataku CSRF.

W podatności CVE-2024-56898 występuje problem z kontrolą dostępu w Geovision GV-ASWeb w wersji v6.1.0.0 lub niższej. Umożliwia to użytkownikom o niskich uprawnieniach wykonywanie działań, do których nie są uprawnieni, co może prowadzić do eskalacji uprawnień oraz tworzenia, modyfikowania lub usuwania kont.

Aplikacja Nedis SmartLife na Androida w wersji 1.4.0 zawiera podatność polegającą na ujawnieniu klucza API. Atakujący może wykorzystać ten klucz do nieautoryzowanego dostępu do funkcji aplikacji lub danych.

Podatność w dzwonku wideo Nedis SmartLife (model WIFICDP10GY) oraz aplikacji Nedis SmartLife iOS w wersji 1.4.0 powoduje, że użytkownicy po rozłączeniu z poprzedniego połączenia peer-to-peer z urządzeniem nadal mają dostęp do transmisji wideo na żywo.

Podatność typu Directory Traversal w pliku backup-sql-file.jar w wersji 3.0.31 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez plik BackupController.java.

Wtyczka BoomBox Theme Extensions dla WordPressa jest podatna na atak Local File Inclusion we wszystkich wersjach do i włącznie z 1.8.0, poprzez atrybut 'type' shortcode'a 'boombox_listing'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie co najmniej 'contributor' do dołączenia i wykonania dowolnych plików na serwerze.

Dostęp do książki adresowej umożliwia modyfikację ustawień SMB/FTP, co może prowadzić do przekierowania skanów i potencjalnego przechwycenia poświadczeń. Wymaga to włączonych funkcji skanowania oraz dostępu do drukarki.

Prolink 4G LTE Mobile Wi-Fi DL-7203E w wersji V4.0.0B05 jest podatny na atak typu SQL Injection w punkcie końcowym /reqproc/proc_get. Podatność ta umożliwia atakującemu manipulację zapytaniami SQL poprzez wstrzykiwanie złośliwego kodu SQL do parametru order_by.

Nieprawidłowa weryfikacja podpisu w loaderze poprawek mikroprogramu ROM procesora AMD może pozwolić atakującemu z lokalnymi uprawnieniami administratora na załadowanie złośliwego mikroprogramu CPU, co prowadzi do utraty poufności i integralności poufnego gościa działającego pod AMD SEV-SNP.

Podatność CVE-2025-24781 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w WPJobBoard, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach WPJobBoard od n/a do 5.10.1.

Podatność CVE-2025-24707 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce gt3-photo-video-gallery. Problem ten dotyczy wersji od n/a do 2.7.7.24.

W podatności CVE-2025-24684 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Ederson Peka Media Downloader. Problem dotyczy wersji Media Downloader od n/a do 0.4.7.5 włącznie.

Podatność CVE-2025-24676 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Custom WP Store Locator, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.4.7.

Podatność CVE-2025-24661 dotyczy deserializacji niezaufanych danych w wtyczce Taxi Booking Manager dla WooCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 1.1.8 włącznie.

Podatność CVE-2025-24660 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Simple Membership Custom Messages, co prowadzi do możliwości ataku typu Reflected XSS. Problem ten występuje w wersjach od n/a do 2.4 włącznie.

Podatność CVE-2025-24656 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Realtyna Provisioning, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.2.2 włącznie.