Katalog podatności CVE

Podatność CVE-2025-64093 umożliwia zdalne wykonanie kodu, pozwalając nieautoryzowanym atakującym na wstrzykiwanie dowolnych poleceń do nazwy hosta urządzenia. To stwarza poważne zagrożenie dla bezpieczeństwa systemu.

Ta podatność umożliwia nieautoryzowanym atakującym wstrzykiwanie zapytań SQL do parametrów żądania GET oraz bezpośrednie zapytania do baz danych. Może to prowadzić do ujawnienia danych lub manipulacji danymi w bazie.

Ta podatność umożliwia uwierzytelnionym atakującym wykonywanie poleceń za pośrednictwem konfiguracji NTP urządzenia.

Ta podatność pozwala uwierzytelnionym atakującym na wykonywanie poleceń za pomocą nazwy hosta urządzenia.

W GitLab EE wykryto podatność, która umożliwia uwierzytelnionemu użytkownikowi dostęp do ustawień modeli AI z nieautoryzowanych przestrzeni nazw poprzez manipulację identyfikatorami w żądaniach API. Problem dotyczy wersji od 18.4 do 18.5.5, 18.6 do 18.6.3 oraz 18.7 do 18.7.1.

Podatność w GitLab CE/EE umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu w kontekście przeglądarki uwierzytelnionego użytkownika poprzez nakłonienie go do odwiedzenia specjalnie spreparowanej strony internetowej. Problem dotyczy wersji od 18.6 do 18.6.2 oraz 18.7 do 18.7.0.

W GNU Wget2 znaleziono lukę, która jest przepełnieniem bufora na stosie. Występuje ona w logice sanitizacji nazw plików podczas przetwarzania kontrolowanych przez atakującego ścieżek URL, szczególnie gdy aktywne są opcje ograniczeń nazw plików.

W aplikacji GNU Wget2 odkryto problem z bezpieczeństwem związany z obsługą dokumentów Metalink. Aplikacja nieprawidłowo weryfikuje ścieżki plików podawane w elementach <file name> Metalink, co może być wykorzystane przez atakującego do zapisywania plików w niezamierzonych lokalizacjach na systemie.

Wtyczka Frontend Admin autorstwa DynamiApps dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'acff' w akcji AJAX 'frontend_admin/forms/update_field' we wszystkich wersjach do 3.28.23 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.

Wtyczka Frontend Admin autorstwa DynamiApps dla WordPressa jest podatna na brak autoryzacji, co umożliwia nieautoryzowanym użytkownikom modyfikację i usuwanie danych. Problem wynika z braku sprawdzenia uprawnień w funkcji 'delete_object' we wszystkich wersjach do 3.28.25 włącznie.

Wtyczka Eventin – Event Manager, Events Calendar, Event Tickets and Registrations dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'post_settings' we wszystkich wersjach do 4.0.51 włącznie. Umożliwia to nieautoryzowanym atakującym modyfikację ustawień wtyczki oraz wstrzykiwanie dowolnych skryptów webowych.

Galaxy Store przed wersją 4.6.02 ma nieprawidłową walidację danych wejściowych, co pozwala lokalnemu atakującemu na wykonanie dowolnego skryptu.

Sterownik PROCA przed wydaniem SMR Jan-2026 Release 1 ma podatność Use After Free, która pozwala lokalnym atakującym na potencjalne wykonanie dowolnego kodu.

SLocation przed wydaniem SMR Jan-2026 Release 1 ma nieprawidłową kontrolę dostępu, co pozwala lokalnym atakującym na wykonywanie uprzywilejowanych API.

Podatność w Fastjson przed wersją 1.2.48 umożliwia atakującemu wstrzyknięcie JNDI poprzez manipulację kluczem @type w dokumencie JSON. Atakujący może wywołać publiczne metody określonej klasy Java, co prowadzi do zdalnego wykonania kodu. Luka była aktywnie wykorzystywana w latach 2023-2025.

Wtyczka SlimStat Analytics dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr `fh` (odcisk palca) we wszystkich wersjach do 5.3.3 włącznie. Problem wynika z niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych dla wartości odcisku palca przechowywanej w bazie danych.

Wtyczka SlimStat Analytics dla WordPressa jest podatna na przechowywane ataki typu Cross-Site Scripting (XSS) poprzez parametry 'notes' i 'resource' we wszystkich wersjach do 5.3.4 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy administrator uzyska dostęp do raportu Ostatnich Zdarzeń Niestandardowych.

Wtyczka Frontend Admin autorstwa DynamiApps dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 3.28.29 włącznie. Problem wynika z niewystarczającej walidacji wartości ról dostarczanych przez użytkowników w funkcjach 'validate_value', 'pre_update_value' oraz 'get_fields_display'.

Wtyczka Brevo dla WooCommerce w WordPressie jest podatna na atak typu Stored Cross-Site Scripting poprzez parametr 'user_connection_id' we wszystkich wersjach do i włącznie z 4.0.49, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Routery KAYSUS KS-WR3600 z oprogramowaniem układowym 1.0.5.9.1 niewłaściwie zarządzają konfiguracją. Po zalogowaniu się użytkownika i utrzymaniu aktywnej sesji, atakujący może bezpośrednio zapytać o punkt końcowy kopii zapasowej i pobrać pełny archiwum konfiguracji.