Katalog podatności CVE

W podatności CVE-2025-8461 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu Seres Software syWEB, co pozwala na ataki typu Reflected XSS.

W podatności CVE-2025-8456 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu Kod8, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy strony Kod8 dla osób indywidualnych i małych oraz średnich przedsiębiorstw do dnia 03022026.

Wtyczka OS DataHub Maps dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej walidacji typu pliku w funkcji 'OS_DataHub_Maps_Admin::add_file_and_ext' we wszystkich wersjach do i włącznie z 1.8.3. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Tutor LMS – rozwiązanie e-learningowe dla WordPressa jest podatna na nieautoryzowane odniesienia do obiektów (IDOR) we wszystkich wersjach do 3.9.5 włącznie. Brak odpowiednich kontroli autoryzacji na poziomie obiektów w funkcjach `course_list_bulk_action()`, `bulk_delete_course()` oraz `update_course_status()` umożliwia atakującym z poziomem dostępu Tutor Instructor i wyżej modyfikację lub usunięcie dowolnych kursów, których nie posiadają, poprzez manipulację identyfikatorami kursów w żądaniach akcji zbiorczych.

Podatność CVE-2025-8590 w oprogramowaniu SKSPro firmy AKCE Software Technology R&D Industry and Trade Inc. umożliwia indeksowanie katalogów, co prowadzi do ujawnienia wrażliwych informacji osobom nieuprawnionym. Problem ten dotyczy wersji SKSPro do dnia 1 lipca 2026 roku.

Podatność CVE-2025-8589 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu SKSPro firmy AKCE Software Technology R&D Industry and Trade Inc. Umożliwia to ataki typu Reflected XSS.

W urządzeniach punktów dostępu bezprzewodowego ELECOM występuje podatność na przepełnienie bufora na stosie. Odpowiednio skonstruowany pakiet może prowadzić do wykonania dowolnego kodu.

W produktach bezprzewodowych LAN firmy ELECOM występuje podatność na wstrzykiwanie poleceń systemowych. Złośliwe żądanie od zalogowanego użytkownika może prowadzić do wykonania dowolnego polecenia systemowego.

Wtyczka Form Maker od 10Web dla WordPressa jest podatna na przechowywane ataki typu Cross-Site Scripting we wszystkich wersjach do i włącznie z 1.15.35. Problem wynika z domyślnej listy dozwolonych plików, która obejmuje pliki SVG oraz słabej walidacji rozszerzeń opartych na podciągach.

Wtyczka Form Maker dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez wartości ukrytych pól we wszystkich wersjach do i włącznie z 1.15.35. Problem wynika z niewystarczającego zabezpieczenia wyjścia podczas wyświetlania wartości ukrytych pól w liście zgłoszeń administracyjnych.

Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPress jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pola profilu klienta we wszystkich wersjach do 5.2.5 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych, które będą wykonywane, gdy administrator przegląda historię aktywności klienta.

Instalator Roland Cloud Manager w wersji 3.1.19 i wcześniejszych niebezpiecznie ładuje biblioteki Dynamic Link Library (DLL), co może umożliwić atakującemu wykonanie dowolnego kodu z uprawnieniami aplikacji.

Podatność w Brocade Fabric OS przed wersją 9.2.1c3 umożliwia lokalnie uwierzytelnionemu użytkownikowi podniesienie swoich uprawnień do poziomu 'root' za pomocą opcji eksportu poleceń seccertmgmt i seccryptocfg.

Podatność CVE-2026-24936 dotyczy niewłaściwej walidacji parametrów wejściowych w określonym programie CGI, co pozwala nieautoryzowanemu zdalnemu atakującemu na zapis dowolnych danych do plików na systemie podczas dołączania do domeny AD z ADM. Wykorzystanie tej podatności może prowadzić do nadpisania krytycznych plików systemowych, co skutkuje całkowitym kompromitowaniem systemu.

Podatność w systemie Brocade Fabric OS umożliwia uwierzytelnionemu, lokalnemu atakującemu z odpowiednimi uprawnieniami dostęp do powłoki Bash oraz do niebezpiecznie przechowywanych treści plików, w tym historii poleceń.

Podatność w MediaWiki związana z plikami programowymi includes/Api/ApiFormatXml.Php. Dotyczy wersji MediaWiki przed 1.39.16, 1.43.6, 1.44.3 oraz 1.45.1.

Podatność w CheckUser Wikimedia Foundation związana z plikami programowymi includes/Mail/UserMailer.Php. Dotyczy wersji CheckUser przed 1.39.14, 1.43.4 oraz 1.44.1.

Podatność w systemie Brocade Fabric OS w wersjach przed 9.2.1c2 umożliwia użytkownikowi na poziomie administratora wykonanie polecenia bind, co może prowadzić do eskalacji uprawnień oraz ominięcia zabezpieczeń, umożliwiając wykonanie dowolnych poleceń.

Podatność w bezpiecznej konfiguracji usług uwierzytelniania i zarządzania w Brocade Fabric OS przed wersją 9.2.1c2 może pozwolić uwierzytelnionemu, zdalnemu atakującemu z uprawnieniami administratora na wykonywanie dowolnych poleceń jako root przy użyciu komend 'supportsave', 'seccertmgmt' oraz 'configupload'.

Podatność w skrypcie migracyjnym dla Brocade SANnav przed wersją 3.0 umożliwia zbieranie zapytań SQL z bazy danych w pliku wsparcia SANnav. Atakujący z dostępem do pliku wsparcia SANnav może otworzyć ten plik i uzyskać wrażliwe informacje, takie jak szczegóły tabel bazy danych oraz zaszyfrowane hasła.