Katalog podatności CVE

Wtyczka WordPress File Upload jest podatna na atak typu Path Traversal we wszystkich wersjach do i włącznie z 4.24.13 poprzez plik wfu_file_downloader.php. Umożliwia to nieautoryzowanym atakującym odczyt plików poza pierwotnie zamierzoną lokalizacją.

Moduł MinigameCenter ma niewystarczające ograniczenia dotyczące ładowania adresów URL, co może prowadzić do wycieku niektórych informacji.

Moduł MinigameCenter ma niewystarczające ograniczenia dotyczące ładowania adresów URL, co może prowadzić do wycieku informacji.

Wtyczka Cost Calculator Builder PRO dla WordPressa jest podatna na ślepą, czasową injekcję SQL poprzez parametr 'data' we wszystkich wersjach do 3.2.15 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Moduł zdrowia ma niewystarczające ograniczenia dotyczące ładowania adresów URL, co może prowadzić do wycieku niektórych informacji.

W oprogramowaniu medycznym HOSxP XE w wersji 4.64.11.3 odkryto zakodowany na stałe klucz IDEA i wektor inicjalizacyjny w komponentach HOSxPXE4.exe i HOS-WIN32.INI. Umożliwia to atakującym dostęp do wrażliwych danych.

Występuje podatność w sterowniku snxppamd.sys w SUNIX Parallel Driver x64 - 10.1.0.0, która pozwala użytkownikom o niskich uprawnieniach na odczyt i zapis dowolnych portów I/O za pomocą specjalnie przygotowanych żądań IOCTL. Może to prowadzić do eskalacji uprawnień, wykonania kodu z wysokimi uprawnieniami oraz ujawnienia informacji.

Występuje podatność w sterowniku snxpsamd.sys w SUNIX Serial Driver x64 - 10.1.0.0, która pozwala użytkownikom o niskich uprawnieniach na odczyt i zapis dowolnych portów I/O za pomocą specjalnie przygotowanych żądań IOCTL. Może to być wykorzystane do eskalacji uprawnień, wykonania kodu z wysokimi uprawnieniami oraz ujawnienia informacji.

Problem w komponencie snxpcamd.sys karty SUNIX Multi I/O w wersji 10.1.0.0 umożliwia atakującym wykonywanie dowolnych operacji odczytu i zapisu poprzez dostarczanie spreparowanych żądań IOCTL.

W interfejsie webowym mostu bezprzewodowego 501 istnieje wiele podatności na wstrzykiwanie poleceń, które mogą prowadzić do zdalnego wykonania poleceń przez uwierzytelnionego użytkownika. Sukces w wykorzystaniu tych podatności pozwala atakującemu na wykonywanie dowolnych poleceń jako użytkownik z uprawnieniami na systemie operacyjnym.

W interfejsie webowym mostu bezprzewodowego 501 występuje wiele podatności na wstrzykiwanie poleceń, które mogą prowadzić do zdalnego wykonania poleceń przez uwierzytelnionego użytkownika. Sukces w wykorzystaniu tych podatności pozwala atakującemu na wykonywanie dowolnych poleceń jako użytkownik z uprawnieniami na systemie operacyjnym.

Podatność CVE-2025-22350 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WpIndeed Ultimate Learning Pro. Problem ten dotyczy wersji Ultimate Learning Pro od n/a do 3.9.

W urządzeniach SiWx91x algorytm SHA2/224 zwraca skrót o długości 256 bitów zamiast 224 bitów. Taka nieprawidłowa długość skrótu wywołuje asercję w oprogramowaniu, co prowadzi do odmowy usługi (DoS).

Invoice Ninja w wersjach przed 5.10.43 umożliwia zdalne wykonanie kodu z preautoryzowanej trasy, gdy atakujący zna APP_KEY. Problem jest zaostrzony przez pliki .env dostępne w repozytorium produktu, które zawierają domyślne wartości APP_KEY.

W systemie AC500 V3 istnieje podatność, która pozwala na wykonanie poleceń przez atakującego. Po skutecznym wykorzystaniu podatności CVE-2024-12429 (przechodzenie przez katalogi), uwierzytelniony atakujący może wstrzyknąć dowolne polecenia do specjalnie przygotowanego pliku, które następnie zostaną wykonane przez użytkownika root.

W podatności CVE-2025-22593 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Laika Pedigree Tree w wersjach od n/a do 1.4 włącznie.

W aplikacji 1003 Mortgage Application występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji od n/a do 1.87 włącznie.

W podatności CVE-2025-22590 występuje atak typu Cross-Site Request Forgery (CSRF) w aplikacji Prayer Times Anywhere, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji aplikacji od n/a do 2.0.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w funkcji Quote Tweet w bozdoz umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Quote Tweet od n/a do 0.7 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Uptime Robot autorstwa Scotta Nelle'a umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Uptime Robot od n/a do 0.1.3 włącznie.