Katalog podatności CVE

Wtyczka WordPress Contact Form CFDB7 w wersjach do 1.3.2 jest podatna na atak SQL injection przed uwierzytelnieniem, co prowadzi do niebezpiecznej deserializacji (PHP Object Injection). Problem wynika z niewystarczającej walidacji danych wejściowych w punktach końcowych wtyczki, co pozwala na wpływanie na zapytania backendowe w nieoczekiwany sposób.

Taiga to platforma do zarządzania projektami typu open source. W wersjach 6.8.3 i wcześniejszych występuje podatność na zdalne wykonanie kodu w API Taiga z powodu niebezpiecznej deserializacji niezaufanych danych. Problem został naprawiony w wersji 6.9.0.

W urządzeniu Dataphone A920 w wersji 2025.07.161103 odkryto problem związany z brakiem walidacji pakietów. Można stworzyć niestandardowy pakiet, który zawiera dowolne dane, co prowadzi do akceptacji pakietu przez urządzenie bez autoryzacji.

Zhangyd-c OneBlog w wersji 2.3.9 i wcześniejszych był podatny na SSTI (Server-Side Template Injection) poprzez szablony FreeMarker.

W podatności CVE-2025-61128 występuje przepełnienie bufora na stosie w oprogramowaniu układowym WAVLINK QUANTUM D3G/WL-WN530HG3 w wersji M30HG3_V240730 oraz prawdopodobnie w innych modelach WAVLINK. Atakujący mogą wykonać dowolny kod, wysyłając odpowiednio skonstruowaną wartość referrera w żądaniu POST do login.cgi.

Wykryto podatność typu out-of-bounds read w Monkey's Audio 11.31, szczególnie w funkcji CAPECharacterHelper::GetUTF16FromUTF8. Problem wynika z niewłaściwego zarządzania długością wejściowego ciągu UTF-8, co może prowadzić do odczytu poza granicami pamięci.

W wersji Firefox 142 istniała możliwość, że skompromitowany proces podrzędny mógł wywołać błąd use-after-free w procesie GPU lub przeglądarki za pomocą wywołań IPC związanych z WebGPU. Ta podatność mogła umożliwić ucieczkę z piaskownicy procesu podrzędnego.

Podatność SQL injection w tlocke pg8000 w wersji 1.31.4 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez specjalnie przygotowany input w postaci listy Pythona do funkcji pg8000.native.literal.

Podatność w Apache Tomcat związana z niewłaściwym neutralizowaniem sekwencji ucieczki ANSI w komunikatach logów. Atakujący mógł wykorzystać specjalnie przygotowany URL do wstrzyknięcia sekwencji, co mogło prowadzić do manipulacji konsolą i schowkiem w systemie Windows.

Oprogramowanie Rox, używane przez platformę BeWelcome, zawiera podatność na wstrzykiwanie obiektów PHP wynikającą z deserializacji niezaufanych danych. Parametr POST `formkit_memory_recovery` oraz ciasteczko `bwRemember` są przekazywane do funkcji `unserialize()`, co umożliwia atakującemu wykonanie dowolnego kodu lub zapisanie plików na serwerze.

W MikroTik RouterOS w wersji 7.14.2 oraz SwOS w wersji 2.18 występuje problem, który domyślnie udostępnia interfejs zarządzania WebFig przez niezabezpieczony protokół HTTP. Umożliwia to atakującemu przechwycenie danych logowania poprzez wykonanie wstrzykniętego kodu JavaScript w przeglądarce administratora.

W systemie eTimeTrackLite Web do wersji 12.0 (20250704) odkryto lukę w kontroli uprawnień, która pozwala nieautoryzowanym atakującym na dostęp do określonych tras oraz modyfikację konfiguracji połączeń z bazą danych.

W podatności CVE-2025-62959 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości zdalnego wstrzyknięcia kodu w aplikacji videowhisper Paid Videochat Turnkey Site w wersjach od n/a do 7.3.23. Problem ten może umożliwić atakującym wykonanie nieautoryzowanego kodu na serwerze.

Antabot White-Jotter w wersji do commita 9bcadc zawiera podatność na zdalne wykonanie kodu (RCE) bez uwierzytelnienia, która występuje w komponencie /api/aaa;/../register.

W podatności CVE-2025-11253 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Netty ERP przed wersją 1.1000.

Wtyczka WooCommerce Designer Pro dla WordPressa, używana przez motyw Pricom - Printing Company & Design Services, jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'wcdp_save_canvas_design_ajax' we wszystkich wersjach do 1.9.26 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W oprogramowaniu Productivity Suite w wersji v4.4.1.19 odkryto podatność związaną z nieograniczonym adresem IP. Umożliwia ona nieautoryzowanemu zdalnemu atakującemu interakcję z symulatorem PLC ProductivityService oraz odczyt, zapis lub usunięcie dowolnych plików i folderów na docelowej maszynie.

Interfejs oparty na SOAP w systemie TLS4B ATG jest podatny z powodu dostępności przez handler usług webowych. Ta podatność umożliwia zdalnym atakującym z ważnymi poświadczeniami wykonywanie poleceń na poziomie systemu w systemie Linux.

Podatność CVE-2025-11023 dotyczy oprogramowania AcBakImzala w wersjach przed 5.1.4, gdzie występuje możliwość lokalnego włączenia pliku PHP z niezaufanego źródła. Problem ten wynika z niewłaściwego zarządzania nazwami plików w instrukcjach include/require.

W systemie integracji Gallagher Morpho występuje podatność, która umożliwia uwierzytelnionemu operatorowi z ograniczonymi uprawnieniami do wprowadzenia krytycznych zmian w lokalnych urządzeniach Morpho. Problem dotyczy serwera Command Centre w wersjach 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7), 9.00 przed vEL9.00.3831 (MR8) oraz wszystkich wersji 8.90 i wcześniejszych.