Katalog podatności CVE

Wtyczka WeDesignTech Ultimate Booking Addon (wedesigntech-ultimate-booking-addon) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.0.3 włącznie.

Wtyczka Ultimate Store Kit Elementor Addons (do wersji 2.9.4 włącznie) zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to nieautoryzowanym użytkownikom dostęp do funkcji, które powinny być chronione.

Wtyczka Team Showcase dla WordPress jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od nieznanej do 2.9 włącznie.

Wtyczka Wishlist for WooCommerce jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od nieznanej do 3.3.0 włącznie.

Wtyczka Theater for WordPress (wersje do 0.19 włącznie) zawiera podatność typu Missing Authorization wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to wykorzystanie błędnie skonfigurowanych mechanizmów autoryzacji.

Brak autoryzacji we wtyczce Car Rental Manager od magepeopleteam umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy Car Rental Manager w wersjach od n/a do 1.0.9 włącznie.

W podatności CVE-2025-69086 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie jwsthemes Issabella w wersjach od n/a do 1.1.2.

W podatności CVE-2025-69085 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w e-plugins JobBank. Problem ten dotyczy wersji JobBank od n/a do 1.2.2 włącznie.

Podatność CVE-2025-69084 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce gt3-photo-video-gallery. Problem ten dotyczy wersji od n/a do 2.7.7.26 włącznie.

W podatności CVE-2025-69083 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Elated-Themes Frappé w wersjach od n/a do 1.8. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Brak escapowania wyjścia prowadzi do wektora XSS we wtyczce pagebreak.

Brak filtrowania wejścia prowadzi do wektora XSS w kodzie filtra HTML związanego z adresami URL danych w tagach img.

Blue Access Cobalt v02.000.195 zawiera podatność umożliwiającą ominięcie uwierzytelniania. Atakujący może selektywnie przekierowywać żądania, aby wykonywać funkcje aplikacji internetowej bez konieczności logowania się przy użyciu prawidłowych danych uwierzytelniających.

Podatność na deserializację niezaufanych danych w DZS Video Gallery umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji DZS Video Gallery od n/a do 12.25.

W podatności CVE-2025-39477 występuje brak autoryzacji w Sfwebservice InWave Jobs, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji InWave Jobs od n/a do 3.5.8.

Dell Unisphere for PowerMax w wersjach 9.2.4.x zawiera podatność polegającą na nieprawidłowym ograniczeniu odniesień do zewnętrznych encji XML (XXE). Osoba atakująca z niskimi uprawnieniami i zdalnym dostępem może wykorzystać tę lukę, co prowadzi do nieautoryzowanego dostępu do danych i zasobów poza zamierzonym obszarem kontroli.

W podatności CVE-2024-30547 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce Shazdeh Header Image Slider, co prowadzi do ataków typu XSS (Cross-site Scripting). Problem ten dotyczy wersji wtyczki od n/a do 0.3.

W urządzeniu Tenda AC23 w wersji 16.03.07.52 wykryto podatność związaną z funkcją sscanf w pliku /goform/PowerSaveSet. Manipulacja argumentem Time może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W urządzeniach NJHYST HY511 POE core (przed 2.1) i pluginach (przed 0.1) występuje podatność związana z niewystarczającą weryfikacją ciasteczek, co pozwala atakującemu na bezpośrednie pobranie pliku konfiguracyjnego bez logowania. Dzięki odczytaniu nazwy użytkownika i zaszyfrowanego hasła MD5, atakujący może zalogować się do panelu administracyjnego.

W urządzeniach H3C M102G (HM1A0V200R010) i BA1500L (SWBA1A0V100R006) występuje problem z konfiguracją vsftpd, przez co wszystkie pliki przesłane anonimowo przez FTP są automatycznie własnością roota. Zdalni atakujący mogą uzyskać pełną kontrolę nad urządzeniami.